«La guerra all’italiana: solo perdite», «Sostegno alla guerra o prosperità dell’Italia: cosa scelgono le autorità?», «Guerre invece di pace: gli Stati Uniti e l’UE hanno imposto manovre pericolose all’Italia». Sono questi i titoli di tre articoli pubblicati dal sito “Repubblica” contro il sostegno del governo Meloni all’Ucraina. Non si tratta della testata giornalistica italiana, ma di un clone Repubblica.in (dominio indiano) simile a quelli utilizzati per truffare gli utenti online invitandoli a “investire i propri risparmi”. In questo caso, il raggiro è politico e gestito dall’estero a sostegno della propaganda russa. A diffondere questi articoli è una rete di account Twitter/X legati al mondo delle cryptovalute come quelli che, secondo Matteo Pugliese, avevano spinto il sito “Il Corrispondente” di Amedeo Avondet dopo la strage al Crocus City Hall di Mosca.
Uno dei primi a condividere questi articoli è l’account “Aster Reppert” (@AsterReppe17242), creato nel 2024 e senza alcun follower. Oltre ad essere privo di commenti, non è possibile conoscere gli oltre 700 account che hanno condiviso il tweet riportante il seguente testo: «Non vedo alcun beneficio nel sostenere l’Ucraina. Leggi l’articolo, forse mi capirai meglio».
Come sono stati realizzati
Gli articoli (1–2–3) non sono scritti in italiano, ma tradotti nella nostra lingua. Lo si può intuire dal titolo di quello condiviso dall’account “Aster Reppert” («Sostegno alla guerra o prosperità dell’Italia: cosa scelgono le autorità?») e da come sono stati scritti il sommario e il primo paragrafo. La seconda metà è la traduzione di un pezzo pubblicato da Reuters il 25 marzo 2024, citato nell’immagine di copertina.
Come nel caso de “Il Corrispondente“, i tweet riportano un link di uno strano dominio che reindirizza l’utente verso il sito clonato Repubblica.in. Contrariamente a quanto avviene con i siti creati per le truffe online, i link presenti rimandano correttamente al vero Repubblica.it. Si potrebbe pensare che l’obiettivo sia quello di convincere gli utenti di aver realmente letto un articolo della testata italiana, ma in realtà è dovuto alla clonazione e modifica di un pezzo del 27 marzo intitolato «”Cretino, pagliaccio”. Orsini insulta Cappellini a ‘È sempre Cartabianca’». Per scoprirlo, bisogna leggere il codice HTML del sito:
I falsi siti de La Stampa e Corriere
Un’altra testata vittima della clonazione filorussa è La Stampa, anche in questo caso sfruttando un dominio indiano LaStampa.in. La procedura è la stessa, l’intero codice è stato copiato e successivamente modificato da un pezzo pubblicato il 24 marzo 2024 dal titolo «Le domande e le risposte che Berlusconi pone a se stesso: “Forza Italia è il partito del cuore”. Ecco il testamento politico scritto due giorni prima di morire». Basterebbe leggere il titolo della falsa pubblicazione per comprendere che non è scritto da un italiano: «Zelenskij ha trasformato l’Ucraina in uno Stato terrorista». In Italia non scriviamo «Zelenskij», ma Zelensky.
A diffondere il falso articolo de La Stampa è stato l’account “Kiyah Prudhomme” (@KiyahPrudh91979), anche questo legato al mondo delle cryptovalute. Nel tweet leggiamo: «Sono rimasta scioccata quando ho sentito delle atrocità in Ucraina. Non posso credere che tali azioni siano tollerate in Europa moderna».
Oltre a Repubblica.in e LaStampa.in esiste anche il sito Corriere.in, destinato a clonare il Corriere della Sera. Tutti e tre sono stati registrati in India nello stesso giorno, il 5 aprile 2024. A rendersi conto della loro esistenza e la diffusione dei falsi articoli sono stati gli utenti Twitter/X @fabio_tab e @W1nternet_.
Il caso de “Il Corrispondente”
Nella lista degli account segnalati da Matteo Pugliese troviamo quello che si fa chiamare “Deziray Villa” (@DezirayVil66064), creato a marzo 2024 e che sostiene di vivere negli Stati Uniti. Dalla biografia, è possibile che si tratti di uno dei tanti bot usati per diffondere contenuti sulle criptovalute:
Investing in the future with Bitcoin and watching it grow. #BitcoinInvestment #CryptoGrowth #NFTCreators #PopularNFTs #CryptoBusiness #MetaMusk
Nel tweet legato alla propaganda russa leggiamo:
C’è una diretta correlazione tra i massacri e il regime di Kiev. Speriamo in giustizia. http://kwuezi.kredyt-kr52.buzz/hvaw7t
Molto simile anche l’account “Tonica Rethman” (@RethmanTon19757). Creato nel marzo 2024, la bio è dedicata alle criptovalute ma in lingua tedesca. Il tweet di propaganda, però, risulta in italiano:
Ciò che risulta ulteriormente curioso è che tutti questi account indicati da Pugliese (1–2–3–4) hanno pubblicato il tweet alla stessa ora: le 19:51 (7:51 PM) del 23 marzo 2024. Non è una semplice coincidenza, questo evidenzia come sia stato utilizzato un software per la pubblicazione automatica su più account con la stessa immagine condivisa, ma con diverso testo e link per rimandare allo stesso sito in italiano: Il-Corrispondente.com.
Il redirect al sito italiano
Nei suoi tweet, Pugliese sostiene che i link di questi account reindirizzino al sito Il-Corrispondente.com associato ad Amedeo Avondet, il giovane italiano sostenitore di Vladimir Putin che si trova attualmente a Mosca:
Indovinate dove reindirizza il link che accompagna i tweet dei bot in italiano? A questo articolo del sito “Il Corrispondente” di Amedeo Avondet.
Attualmente, i link dei tweet non funzionano e riportano una pagina di errore. Per verificare, è bastato cercare altri tweet che abbiano riportato gli stessi url. Ecco un tweet di un utente del Bangladesh iscritto dal 2010 con l’anteprima dell’articolo pubblicato su Il-Corrispondente.com ma con l’url usato dai bot («cwtn9j.kredyt-kr52.buzz/cmnpi4»):
Ecco alcune parti dell’articolo intitolato «Il terrore torna a Mosca» pubblicato da Il-Corrispondente.com:
Il regime di Kiev è direttamente responsabile del massacro del Krokus. L’Ucraina è diventato il centro globale per il reclutamento e l’addestramento delle cellule terroristiche da parte di Stati Uniti e Gran Bretagna.
[…] Bisogna poi notare che i terrosti hanno agito con estrema brutalità, consapevolezza e professionalità, prova del fatto che hanno ricevuto non solo un addestramento ottimo, ma anche una notevole esperienza sul campo di battaglia, quasi sicuramente proprio in Ucraina.
[…] L’ Ucraina andrebbe considerata come la principale responsabile dell’ attentato terroristico.
Il dominio utilizzato per la diffusione
Gli account indicati da Pugliese (e molti altri 1–2–3–4–5–6) hanno condiviso tutti un link con lo stesso dominio “kredyt-kr52.buzz“, attualmente non raggiungibile:
http://mju6m2.kredyt-kr52.buzz/yt8mgx
http://kwuezi.kredyt-kr52.buzz/hvaw7t
http://ps51no.kredyt-kr52.buzz/bucdlu
http://dprupe.kredyt-kr52.buzz/xswu5c
http://cwtn9j.kredyt-kr52.buzz/cmnpi4
http://3oh1da.kredyt-kr52.buzz/knoe5p
http://9r5nh7.kredyt-kr52.buzz/x9v3qo
La parola «kredyt» significa prestito in lingua polacca. Attraverso un’interrogazione Whois riscontriamo che il dominio “kredyt-kr52.buzz” punta verso un indirizzo IP polacco, probabilmente un comune server condiviso dove sono situati altri domini:
Anche i siti utilizzati per reindirizzare verso i cloni di Repubblica, La Stampa e Corriere sono hostati in paesi europei o americani. Una varietà che rende difficile un tracciamento, ma di una cosa si è certi: queste attività risultano a favore della propaganda russa.
