Páginas de Facebook que se hicieron pasar por medios de noticias independientes, atacaron actores políticos e influyeron durante elecciones presidenciales de la región

El 8 de julio de 2020, Facebook eliminó una red de cuentas involucradas en un comportamiento inauténtico coordinado (CIB, por sus siglas en inglés) que se centraba en varios países de América Latina e influyó en temas políticos de la región. Facebook atribuyó esta red — 61 páginas, 35 cuentas y 48 perfiles de Instagram — a Estraterra, una firma ecuatoriana de relaciones públicas que operaba desde Canadá, así como consultores políticos y exfuncionarios del Gobierno de Ecuador. Este no es el primer caso de una empresa de marketing comercial que se beneficia de dudosas tácticas políticas. Previamente, el DFRLab ya ha investigado sobre operaciones similares. Si bien estas acciones que buscan influir en resultados políticos no son nuevas o novedosas, la exposición de una compañía más encargada de realizar tales operaciones demuestra qué tan expandido está este fenómeno.

Los administradores de las páginas involucradas se encontraban principalmente en Canadá y Ecuador, pero el contenido también se dirigía a otros países, entre ellos Argentina, Brasil, Bolivia, Chile, Colombia, Uruguay y Venezuela. Una parte considerable del contenido parecía estar relacionado con las elecciones, ya que muchas páginas promovían candidatos específicos de izquierda — previo a una elección — y luego quedaban inactivas. El contenido examinado por el DFRLab no mostró indicios de desinformación o noticias falsas, pero las cuentas sí parecían estar bajo una estrategia de coordinación y presentar características de inautenticidad.

En el reporte oficial de Facebook, la compañía escribió:

“Esta red dependía de una combinación de cuentas auténticas e inauténticas, algunas de las cuales ya habían sido detectadas y desactivadas por nuestros sistemas automatizados. Esta operación, que también aparecía en otras plataformas de Internet, se activaba alrededor de eventos cívicos como elecciones, a veces publicando en ambos lados del debate político, y luego, abandonaba o detenía su actividad. Utilizaron cuentas falsas para simular que pertenecían a los países que atacaron; publicar y dar “Me gusta” a su propio contenido; dirigir a los usuarios a sitios externos; y gestionar páginas que se hacían pasar por medios noticiosos independientes en determinados países. Algunas cuentas detrás de esta actividad crearon múltiples perfiles duplicados bajo su propio nombre. Esta red publicó noticias nacionales en los países en los cuales tuvo injerencia, incluyendo temas como política; activismo; elogios y críticas a candidatos políticos; elecciones; el gobierno de Venezuela; apoyo y críticas al presidente de Ecuador; y partidos políticos de la región, como el Frente Farabundo Martí para la Liberación Nacional en El Salvador, el partido Peronista en Argentina y el partido Progresista en Chile.

Encontramos esta red como parte de nuestra investigación interna sobre caso sospechosos de comportamiento inauténtico coordinado en la región. Aunque las personas detrás de esta actividad intentaron ocultar dicha coordinación y sus identidades, nuestra investigación encontró vínculos con consultores políticos y exempleados del gobierno en Ecuador y Estraterra, una empresa de relaciones públicas con sede en Canadá. Estraterra está ahora vetada en nuestras plataformas”.

No es la primera vez que una plataforma de redes sociales detecta una actividad inauténtica coordinada que esté vinculada a Ecuador. En septiembre de 2019, Twitter eliminó 1.019 cuentas afines a Alianza País (AP), un movimiento político ligado al expresidente Rafael Correa. Ambos casos, tanto la red coordinada en Facebook, como las cuentas suspendidas por Twitter, se asemejan mucho, ya que algunas de las cuentas de la red reconocieron abiertamente su apoyo a Correa, creando publicaciones a favor de su imagen y movimiento político.

DFRLab encontró evidencias de que uno de los perfiles inhabilitados por Facebook era de un exempleado del gobierno de Ecuador que había sido asesor de la Secretaría Nacional de Administración Pública durante la presidencia de Correa. El mismo exempleado es también cofundador de Estraterra.

La investigación confirmó tanto las conexiones entre las cuentas en Facebook e Instagram, como los vínculos de éstas con los sitios web externos a la plataforma. Algunos de esos sitios web compartieron contenido similar, utilizaron la misma cuenta de usuario (código UA) para Google Analytics y añadieron el mismo ID (identificador) de editor para una cuenta de Google AdSense. Muchos de ellos también estaban alojados en el mismo servidor.

A grandes rasgos, esta operación siguió un patrón que DFRLab ha visto antes con frecuencia: una empresa con fines de lucro que opera una serie de cuentas de Facebook e Instagram conectadas a sitios web externos.

Estraterra: de origen ecuatoriano, operando en Canadá

Una búsqueda en LinkedIn arrojó como resultado un perfil de una persona llamada Roberto Wohlgemuth. Allí se indica que está ubicado en Vancouver, Canadá, y es cofundador de Estraterra. Wohlgemuth será una figura recurrente a lo largo de esta investigación.

A pesar de la ubicación de Wohlgemuth en Canadá, una búsqueda en Google evidenció que su nombre se encontraba en documentos oficiales que demuestran que la empresa fue fundada en Ecuador el 19 de julio del 2017.

El documento indica que la empresa opera bajo las leyes de la República del Ecuador, lo que sugiere que la compañía tiene su sede en ese país. También se señala que la organización puede establecer subsidiarias en el extranjero, lo que explica la conexión canadiense.

Según el documento, el propósito de la compañía es la prestación de servicios integrales, como “asesorías, consultorías, asistencia profesional, capacitaciones y prestaciones de servicios” centrándose, por ejemplo, en “estrategias comunicacionales, marketing y/o publicidad”.

En ese mismo sentido, Estraterra se describe así misma en su sitio web como una compañía de comunicaciones políticas estratégicas que ayuda a conectar “los movimientos políticos y gobiernos progresistas de todo el mundo de manera significativa con sus electores”.

Además de la referencia de LinkedIn, entre las cuentas eliminadas por Facebook, se encontraba el perfil de “Roberto Wohlgemuth”. Una nueva búsqueda en Google también reveló un documento oficial que indicaba que alguien identificado como Roberto Wohlgemuth se desempeñó como asesor de la Secretaría Nacional de Administración Pública durante la presidencia de Rafael Correa a partir del 2011.

Wohlgemuth no era la única conexión con la administración de Correa. El nombre de “Giovanni López Jr.”, aparece tanto en una de las cuentas inhabilitadas por Facebook como en un documento oficial obtenido a partir de una búsqueda en Google. En dicho documento se afirma que se desempeñó como asistente técnico de medios y relaciones públicas en la oficina de la vicepresidencia de la República a partir del 2014.

Objetivo: Latinoamérica

Un número considerable de las páginas de Facebook y los perfiles de Instagram, a los que tuvo acceso DFRLab, figuraron como medios de noticias independientes y de fact-checking, cuyos contenidos buscaban apoyar a líderes de izquierda en América Latina y desacreditar actores políticos de derecha en la región, incluyendo al presidente brasileño Jair Bolsonaro, al presidente chileno Sebastián Piñera, al expresidente argentino Mauricio Macri y a Juan Guaidó, quien es reconocido por más de 50 países como presidente interino de Venezuela.

Según las fechas de creación y el contenido de las páginas, varias de las cuentas de la red operaron casi exclusivamente durante las campañas presidenciales en América del Sur, entre ellas la de Chile (2017), Ecuador (2017), Venezuela (2018), Argentina (2019) y Uruguay (2019).

En Ecuador, las páginas promovieron la candidatura de Lenin Moreno, quien fue nominado como candidato presidencial por el partido de Correa, Alianza País. Moreno ganó las elecciones y actualmente es el presidente de Ecuador. Después de que Moreno se posesionó, los desacuerdos entre él y Correa los llevaron a una ruptura política. Las cuentas involucradas en la eliminación de Facebook también pasaron de apoyar la candidatura de Moreno a atacarlo después de que se peleara con Correa. Otras páginas intentaron desacreditar al candidato de la oposición, el empresario y político ecuatoriano Guillermo Lasso. Ninguna de las publicaciones, sin embargo, parecía ser algo más que contenidos de ataque político.

Otras cuentas inhabilitadas impulsaron la reelección de Nicolás Maduro en Venezuela en el 2018 y de Alberto Fernández en Argentina en el 2019, quien fuera el candidato del movimiento peronista. Parte del contenido enfocado en las elecciones argentinas incluyó ataques al candidato y mandatario en turno, Mauricio Macri. Fernández ganó la contienda.

La mayor parte de las páginas que buscaban influir en las diferentes elecciones presidenciales de la región funcionaban sólo durante la campaña. Después de las elecciones, algunas dejaron inmediatamente de publicar contenidos en la plataforma.

De las cuentas a las que DFRLab tuvo acceso, sólo dos pagaron pauta usando la plataforma publicitaria de Facebook bajo la categoría “temas, elecciones o política”. Una de estas páginas, El Austral Digital, publicó alrededor de 32 anuncios en octubre del 2019. Estos fueron dirigidos a un público argentino, a veces limitándolos sólo a los usuarios de la capital Buenos Aires.

Además de estas cuentas cuyo contenido giraba en torno a las campañas presidenciales, la red también se centró ampliamente en la política interna de algunos países, como Ecuador y Chile. Parte del contenido incluyó narrativas alrededor de excandidatos presidenciales, dirigentes de partidos políticos, miembros de asambleas nacionales y alcaldes.

Las cuentas de Facebook e Instagram también incluyeron contenido sobre el presidente de los Estados Unidos Donald Trump, muchas veces como un medio para atacar al mismo tiempo a Guaidó, quien ha estado confrontando a Nicolás Maduro por el control de Venezuela desde enero del 2019, luego de las muy disputadas elecciones presidenciales del 2018. Otras publicaciones se basaron en el ataque militar estadounidense de enero del 2020 que mató Qasem Soleimani, quien fuera el general de la Fuerza Quds de élite de la Guardia Revolucionaria Iraní (GRI).

Algunas de las cuentas de Facebook publicaron contenidos relacionados con el COVID-19, centrándose en la ciudad de Guayaquil, que ha sido duramente afectada por el brote de coronavirus.

Algunas de las páginas reconocieron abiertamente su apoyo al expresidente Correa y a Nicolás Maduro. Por ejemplo, la cuenta de Instagram @correistas, un nombre que hace referencia a los partidarios de Correa publicó fotos en las cuales se resalta la imagen del expresidente con un aire de simpatía.

Con base en un análisis de aprendizaje automático (machine learning) para similitud de imágenes, haciendo uso de la aplicación de Keras VGG16, el DFRLab encontró entre las casi 9.000 fotos publicadas en Instagram por la red, que dos cuentas en específico, @correistas y @seguidoresdecorrea, compartían publicaciones similares de fotos de Correa.

Actividad inauténtica en Facebook

La investigación del DFRLab permitió corroborar características de comportamiento inauténtico coordinado en la red. Por ejemplo, muchas de las páginas que figuraron como medios de noticias independientes en la región, se crearon el mismo día o con pocos días de diferencia.

Muchas de las cuentas de Facebook se crearon en grupos o clústeres. Por ejemplo, algunas de las cuentas centradas en las elecciones presidenciales ecuatorianas del 2017 se crearon alrededor del mismo período. De manera similar, hubo una serie de coincidencias en las ubicaciones de los administradores de las páginas. Aunque estas páginas tenían en su mayoría administradores ubicados en Ecuador, dos de ellas mostraban también a Canadá, según los datos de transparencia de la página de Facebook.

Otro conjunto de páginas, enfocado principalmente en asuntos políticos venezolanos, fue creado entre el 8 y el 9 de febrero del 2018, antes de la campaña presidencial en Venezuela. El DFRLab identificó tres grupos principales de páginas. En cada subconjunto, las páginas se crearon alrededor del mismo día.

La investigación también determinó que algunas de las cuentas operaban utilizando perfiles duplicados y falsos. Sin embargo, no está claro si algunas de las cuentas duplicadas se crearon después de que alguna de ellas fuera previamente eliminada por la plataforma de manera temporal.

Junto con las cuentas duplicadas, al menos una de las cuentas eliminadas tenía una imagen de perfil generada mediante un tipo de inteligencia artificial, conocida como generative adversarial network GANs. Como el DFRLab identificó previamente en colaboración con Graphika, los rostros generados por Inteligencia Artificial pueden reconocerse analizando rasgos específicos de la imagen, como los detalles del fondo, el pelo, los labios y la asimetría entre los ojos o las orejas.

Otro grupo de cuentas se apropió de diversas imágenes en línea, incluso de jugadores de fútbol o actrices. Mediante la búsqueda inversa de imágenes de Google, la investigación pudo identificar algunas de las imágenes de perfil utilizadas por las cuentas de usuario. Además, dos cuentas utilizaron imágenes de perfil de la estrella de fútbol argentino Lionel Messi.

Además de la actividad en Facebook, también hubo evidencia de actividad inauténtica en Twitter dirigida por la ya mencionada cuenta de Instagram @correistas.

La misma táctica se desplegó a través de un canal exclusivo de Telegram, también llamado Correistas, que invitaba a los miembros a unirse a campañas similares para promover un hashtag en Twitter (o tuitazo).

Después de estas invitaciones o llamados a la acción, algunos de estos hashtags llegaron a las tendencias en Twitter mostrando signos de manipulación de tráfico.

Un ejemplo de ello, de acuerdo con la herramienta de registro de tendencias de Twitter Trendinalia, el hashtag #NoSeMetanConCorrea, que fue promovido en Instagram por @correistas el 11 de junio de 2018, llegó a ser tendencia ese mismo día. El hashtag obtuvo 38.483 menciones, y el 10 por ciento de las cuentas más activas generó casi el 70 por ciento del volumen de publicación, lo que indica que un pequeño grupo de cuentas se coordinó en un esfuerzo por convertir este hashtag en tendencia.

Conexiones entre las cuentas

Para analizar la relación entre las cuentas de los usuarios en Facebook, el DFRLab creó un gráfico de análisis de redes basado en los vínculos de amistad. Este proceso sólo tomó las conexiones entre 29 de los 35 perfiles eliminados como parte de la información a la que DFRLab tuvo acceso; las seis restantes restringieron el acceso a sus listas de amigos.

El gráfico reveló que el perfil del cofundador de Estraterra, Roberto Wohlgemuth, era el nodo más conectado de la red de Facebook, lo que sugiere que muchas de las cuentas analizadas eran “amigos” conectados con él. Otros perfiles relevantes en la red fueron Santiago Silva, Pepito Redes y Giova López.

De acuerdo con el gráfico, los vínculos entre las cuentas indican que éstas no operaban de forma aislada. Por el contrario, estas conexiones pueden sugerir signos de coordinación. En el caso de Wohlgemuth, al menos, es probable que su perfil haya sido eliminado porque parecía ser el personaje central de las actividades de comportamiento inauténtico coordinado en la plataforma.

El DFRLab creó un segundo gráfico de redes para analizar las cuentas de Instagram basándose en los perfiles seguidos por las cuentas eliminadas. El gráfico reveló que algunas de las cuentas que se hacían pasar por medios de noticias independientes se habían seguido entre ellas.

Sitios web externos con contenido idéntico

Más allá de Facebook e Instagram, el DFRLab identificó al menos 33 sitios web externos vinculados a las cuentas eliminadas. Aunque algunos de los sitios web ya no están disponibles, las versiones antiguas de algunos de ellos habían sido archivadas en la plataforma Wayback Machine.

Todos los sitios web activos vinculados a las cuentas utilizaban WordPress como su sistema de gestión de contenidos. Además, algunos de ellos comparten cuentas de usuario (código UA) de Google Analytics, así como de Google AdSense, lo que sugiere una coordinación más allá de Facebook e Instagram.

Algunos de los sitios web parecían utilizar la cuenta de AdSense como un método para generar ingresos mediante el alojamiento de anuncios.

De acuerdo con los resultados de WHOIS, una herramienta que permite a los investigadores encontrar información sobre dominios web, muchos de estos sitios se registraron el mismo día, a veces con pocos segundos de diferencia. En todos los casos, el nombre del registrante no estaba disponible.

A través de la herramienta WPScan, el DFRLab también pudo corroborar conexiones entre los sitios web. Mientras que los nombres de usuario usados para acceder al backend del sitio de WordPress no coincidían con las cuentas eliminadas, incluyendo Wohlgemuth, el escaneo reveló patrones de nombres de usuario idénticos en todos los sitios web, como “editor”, “editor1”, “colab_1”, “colab_2”, etc.

Contenido idéntico dentro y fuera de Facebook

La coordinación entre los sitios web externos a Facebook y las cuentas dentro de la plataforma, eliminadas por la compañía, muestran evidencia de comportamiento inauténtico. Esto se refleja en casos donde cuentas diferentes, pero con similitudes en Facebook e Instagram, utilizaron enlaces a artículos “copypasta” (bloques de texto usando ‘copiar y pegar’) en diferentes sitios web externos, los cuales, a su vez, compartían características como los ID de Google AdSense y Google Analytics.

Los perfiles de Instagram conectados a Semanario La Región y Latam Post publicaron imágenes similares entre ellos, además de enlaces a artículos con contenido similar.

El contenido de los artículos externos a las plataformas no fue el único lenguaje idéntico encontrado entre las cuentas. El 6 de mayo del 2019, por ejemplo, los mismos perfiles de Instagram mostrados previamente utilizaron un pie de foto idéntico para dos imágenes diferentes. Una de ellas, sin embargo, presentaba un pie de foto que no se ajustaba al contexto de la foto que acompañaba. A pesar de esto, los mensajes se publicaron con siete minutos de diferencia entre sí.

Las cuentas que apoyan a Rafael Correa también compartieron fotos similares en Instagram. Aunque estos perfiles publicaron en fechas diferentes, ambas cuentas @correistas y @seguidoresdecorrea compartieron contenido idéntico en sus perfiles.

En Facebook, las páginas “¿Y Tú? ¿No Quisieras?” y “Las Cosas No Son Lo Que Parecen” generaron publicaciones idénticas en la misma hora. Las páginas fueron creadas el 5 y el 7 de julio del 2019, respectivamente.

El impacto de las cuentas dentro de Facebook e Instagram

Aproximadamente 400.000 cuentas de Facebook e Instagram siguieron una o más de las cuentas proporcionadas a DFRLab por Facebook. Según una consulta en la herramienta de análisis de plataformas de redes sociales CrowdTangle, las páginas de Facebook eliminadas publicaron 10 contenidos mensuales entre enero del 2017 y julio del 2020, y obtuvieron cerca de 3.400 interacciones al mes, incluidos “Me gusta” y “Reacciones”.

En el primer trimestre del 2019 hubo un pico en el número de publicaciones. Esta actividad se explica por el número de cuentas, al menos 16 páginas, creadas en el mismo periodo. Sin embargo, picos pequeños en el volumen de publicaciones coinciden con las campañas presidenciales en Sudamérica, como las elecciones de Ecuador y Chile (enero del 2017), la campaña presidencial de Venezuela de enero del 2018 y las elecciones argentinas del 2019.

En total, estas cuentas de Facebook acumularon 3,1 millones de interacciones. Entre diciembre del 2017 y enero del 2018, la página “Diles no a los traidores” obtuvo un tercio de todas las interacciones. A pesar de que el número de cuentas aumentó después del 2019, el volumen de interacciones se mantuvo bajo con respecto a los años anteriores.

En su análisis independiente de las cuentas afiliadas a Estraterra y eliminadas como parte de la última suspensión de Facebook, el DFRLab pudo corroborar muchas de las conexiones entre las cuentas involucradas. Además, dichas cuentas estaban claramente conectadas a exempleados del gobierno de Ecuador, específicamente a la administración del expresidente Rafael Correa.

Si bien muchas de las cuentas se presentaban como medios de noticias independientes con sitios web alternativos asociados, el contenido no parecía estar manipulado, ni era evidentemente desinformación en el sentido estricto. Parece, sin embargo, que este conjunto de cuentas de Facebook se dedicó a un comportamiento coordinado e inauténtico, bajo el objetivo de impulsar narrativas sobre movimientos políticos progresistas y numerosas elecciones presidenciales de América del Sur.

---

Esteban Ponce de León es Asistente de Investigación en América Latina en Digital Forensic Research Lab (DFRLab).

Daniel Suárez Pérez es Asistente de Investigación en América Latina en Digital Forensic Research Lab (DFRLab).

Síguenos para un análisis más profundo en nuestro #DigitalSherlocks.