Hur gräver man bakom desinformationen? Journalisten Jonathan Lundberg berättar om hur det gick till, när Fojos projekt Valkollen kartlade ett vietnamesiskt klicknätverk.
Låt säga att du stött på en misstänkt bild, arkiverat den för beständighet, via omvänt bildsök, metadata eller AI-avslöjande metoder bevisat att den är fejk. Vad återstår då att göra?
Inte mycket – bara resten.
I en undersökning där allt klickar skulle vi helst ta reda på hur bilden spridits, av vem eller vilka, och varför. Det här är inte alltid det enklaste. När felaktigheter sprids, sker det ofta i en kedja utan uppsåt. Någon hör någonting, uppfattar det som sant eller tänkbart sant, och berättar det vidare utan egen vinning. Kanske adderas detaljer längs med vägen, som i en fungerande omgång av viskleken – där ingen medvetet förvränger det som sägs, men det ändå blir fel.
Men det händer, på internet kanske oftare än i verkligheten, att det finns dolda drivkrafter bakom osanningar. Ett sådant exempel stötte vi på inom Fojos projekt Valkollen i maj 2026.
Det började oskyldigt. Den 12 maj lade en Facebook-sida som kallade sig Politisk Översikt Sverige upp en bild föreställande SD:s partiledare Jimmie Åkesson och hans fru med en nyfödd bebis i famnen. Bilden fick stor uppmärksamhet på Facebook, och letade sig snart ut på plattformen X där ett inlägg om Åkessons utökade faderskap fick över 1 500 reaktioner.
Det hela verkade inte osannolikt: Jimmie Åkesson och hans fru gifte sig hösten 2024. Så sent som i mars 2026 skrev Hänt att Åkesson öppnat upp för barn tillsammans. Bilderna var välgjorda, och såg äkta ut.
Men en snabb kontroll avslöjade att de var uppmärkta med Googles vattenstämpel SynthID – de var alltså AI-genererade (i vår bildgranskningsguide (länk igen) skriver vi mer om SynthID). Ett annat sätt att upptäcka bluffen var med en omvänd bildsökning. Laddade man upp bilden till Google Lens – exempelvis genom att i webbläsaren Chrome högerklicka på den och välja “Sök i den här bilden med Google Lens” – fick man en rad intressanta träffar.
Ett stort antal likartade bilder, uppladdade av olika Facebook-sidor inriktade mot olika länder, där bara politikernas ansikten varierade.
En annan svensk sida som kallade sig Den Tysta Kronan hade placerat Socialdemokraternas partiledare Magdalena Andersson och hennes man i bilden. En ungersk Facebook-sida kallad Magyarország Hatalma hade lagt upp precis samma bild, fast med Fidesz-politikern Gulyás Gergelys ansikte.
Det här blev en första snabb faktagranskning – nej, Jimmie Åkesson och Magdalena Andersson är inte nyblivna föräldrar.
Men under tiden fortsatte vi att gräva. Vilka var det som spred de här bilderna, och varför? Ett bra första steg är ofta att försöka kartlägga spridningens bredd. Ett sätt att göra det, är just via omvända bildsökningar – hitta liknande material, som lagts upp av andra aktörer fast vid samma tidpunkt, på ett sätt som gör att dessa med viss sannolikhet kan kopplas ihop.
Ett annat sätt är att söka efter formuleringar i inläggen. De som vilseleder på den här typen av storskaliga sätt, återanvänder ofta material som visat sig fungera. Söker man på vissa rader eller stycken som sticker ut, kan man alltså hitta andra sidor som uttryckt sig likartat.
Ett tredje sätt är att kolla om sidorna länkar till några hemsidor, eller på sina profiler angivit någon mejladress eller ett telefonnummer. Söker man på sådana markörer, kan man också hitta andra profiler som använt sig av samma uppgifter.
I det här fallet var hemsidorna av särskilt intresse. Vad vi visste, var nämligen att de vietnamesiska klickbetesnätverk som Källkritikbyrån kartlagt det senaste året finansierade sin verksamhet genom att locka sin publik till hemsidor som de länkade till i kommentarsfälten – där de tjänade pengar på varje klick.
Sökte man efter dessa webbadresser, antingen i de sociala mediernas egna sökrutor eller via en generell sökmotor som Google, hittade man ofta fler sidor som länkat till samma bluffsajter.
Vi misstänkte, kort sagt, att politiksidorna vi nu stött på var del av samma fenomen.
På detta sätt – genom att varva sökningar efter bilder, textstycken och identitetsmarkörer – började vi nysta upp ett nätverk bestående av minst 12 svenska politiksidor på Facebook, och 44 i andra länder.
De svenska hade, i ett dussintal inlägg, gått till attack mot journalisten Camilla Kvartoft:
“SÄTT DIG NER – MAGDALENA ANDERSSONS MARIONETT. VEM TROR DU ATT DU REPRESENTERAR?”
Ihop med texten fanns ett bildmontage, där Åkesson syntes stirra strängt på Kvartoft. Inlägget fick 2 200 reaktioner – mycket nog för att sidorna skulle skapa mer på temat.
I ett annat inlägg, publicerat av sidan Scandi Prime, fick vi en direkt inblick i hur bluffmakarna arbetade. Återigen handlade det om ett bildmontage med Jimmie Åkesson och Camilla Kvartoft – men den här gången inleddes texten:
“Jag har skrivit om berättelsen på svenska, behållit händelseförloppet men gjort den mer dramatisk och engagerande, cirka 180 ord med tydliga styckesindelningar:”
Alltså: någon hade skapat ett stort nätverk av Facebook-sidor. Med hjälp av AI genererade de tillspetsade, ofta direkt påhittade, nyheter kopplade till svensk politik och journalistik. I varje inlägg låg länken till en hemsida där man kunde “läsa mer”. Klickade man på den, skickades man till en sajt som förvisso innehöll en längre, AI-genererad text om det som inlägget handlat om – men som också var sprängfylld med annonser. Varje visning innebar klirr i kassan för aktören bakom det hela.
Det var så affärsmodellen såg ut.
För att komma närmare hjärnan bakom detta upplägg, började vi finkamma de profiler som vi hittat. För en Facebook-sida kan det innebära att kolla Sidtransparensen. Den hittar man, i nuläget (detta har förändrats flera gånger de senaste åren), genom att klicka på kategorin under en sidas namn. Som här, i fallet med Källkritikbyrån:
Sedan kan man behöva klicka på Transparens eller motsvarande igen, för att komma till en vy där det går att se när sidan skapades, vilket namn den då hade, om det ändrats längs med vägen och i vilket land administratörerna verkar vara baserade.
I samtliga våra fall: Vietnam. Nästan alla sidor vi undersökte verkade också ha skapats omkring samma tidpunkt, i början av april 2026.
Längst ner i transparensvyn ligger en annan knapp av intresse: länken till annonsbiblioteket.
Till följd av EU-lagstiftningen DSA måste alla VLOPs, very large online platforms, föra offentliga arkiv med de nuvarande och tidigare annonser som riktats mot deras användare. I Metas annonsbibliotek kunde vi se att de flesta av våra sidor kört annonser av liknande snitt – en politiker, flagga eller annan företeelse, ihop med en text som löd typ “Gillar du detta – gilla den här sidan”, och så ett finger som pekade ner mot gillaknappen.
Det gick också att se en annan sak: att merparten av annonserna betalats av “Kids KingDom – Khu Vui Chơi Trẻ Em Ngay Chợ Đà Lạt”.
Detta verkade vara ett faktiskt vietnamesiskt lekland. Hur var de involverade i bluffmakeriet? Sannolikt inte alls, menade experter vi talade med. I stället, trodde de, var leklandet självt nog ett offer i sammanhanget.
Hackade konton säljs på den svarta marknaden och köps av andra – som i sin tur betalar sina annonser med hjälp av dem, för att täcka sina egna finansiella spår.
Likväl innebar det en koppling mellan sidorna, som ytterligare styrkte att en och samma aktör stod bakom dem.
Här tog spåret, tyvärr, slut. Vi hade kartlagt nätverket, åtminstone till ytan förstått deras arbetsmetoder och affärsupplägg, och lokaliserat det till Vietnam. Men vem eller vilka som stod bakom det, lyckades vi den här gången inte lista ut.
Det gjorde vi däremot i ett liknande fall, hösten 2025. Då hade jag, på uppdrag av Källkritikbyrån, kartlagt ett mycket likartat vietnamesiskt nätverk. Men den gången hade bluffmakarna slarvat.
Vill man ta reda på vem som ligger bakom en mejladress eller ett telefonnummer, kan man använda sig av verktyget OSINT Industries. Det är tyvärr en betaltjänst, men en där journalister åtminstone i skrivande stund kan ansöka om gratiskrediter.
Vad OSINT Industries gör, är att försöka hitta onlinekonton som registrerats med dessa uppgifter. Därför är det första jag brukar göra, när jag stöter på sådana, att ladda upp dem där. Men i det här fallet, liksom i fallet med politiksidorna, gav de inga träffar. Sannolikt hade man använt sig av tillfälliga, eller påhittade, uppgifter.
OSINT Industries startsida. Här, 8 minuter och 44 sekunder in, finns en guide till hur journalister kan ansöka om gratiskrediter.
Ett annat sätt, om det finns hemsidor kopplade till fallet, är att kontrollera WHOIS-datan. Det är den data som uppgivits när en domän registrerats. Ibland kan det där finnas uppgifter som aktören glömt att dölja.
Det gjorde det dock tyvärr inte heller här. I stället kom vårt genombrott när it-experten Karl Emil Nikka undrade om vi kontrollerat hemsidornas REST-API. Det hade vi inte – ärligt talat visste jag inte ens vad det var.
Ett REST-API, menade Nikka, är ett sätt för människor och maskiner att kommunicera med hemsidor via text. Enkelt uttryckt kan man säga att en webbläsare väljer ut vad den ska visa, för att presentera innehållet så snyggt som möjligt. Men det innebär att det kan finnas publik data kopplad till hemsidan, som bara inte är synlig. Kopplar man upp sig till en hemsida via REST-API:t, kan man få den datan skickad till sig i textform.
Så här såg REST-API:t ut för en av de WordPress-baserade hemsidorna vi undersökte, på en undersida med registrerade användare. Den första i listan var administratören: Hupchao.
I REST-API:t för de tre hemsidor vi då undersökte, hittade vi ett administratörskonto. På alla tre sidorna, samma namn:
Hupchao.
Det var unikt nog för att vi skulle kunna söka efter det via Google, DuckDuckGo och Bing. På så vis hittade vi en blogg, skapad för över ett decennium sedan – av en ung, teknikintresserad man i Vietnam, som kallade sig Hupchao.
I ett blogginlägg verkade han berätta om ett antivirusprogram, ihop med en demonstration av hur man installerade det. För att läsaren skulle kunna hänga med steg för steg, hade han bifogat skärmdumpar. Och i en av dem, syntes Hupchaos mejladress.
Det var när vi laddade upp den till OSINT Industries, som genombrottet kom. Fram ploppade dussintals konton, alla kopplade till en och samma man. En man som numera var vd för ett bolag baserat i Hanoi: en viral marknadsföringsbyrå. Eller, i själva verket: en global klickbetesfabrik.
Klickbetesfabriken vi hittade utgav sig för att vara en marknadsföringsbyrå – och rekryterade öppet. Här sökte de en “Content Creator” till Facebook. Lönen, cirka 3 000 SEK i månaden.
Det var den, och han, som låg bakom det nätverk vi arbetat med att kartlägga. På sin hemsida skröt de öppet om att de hade uppemot 1 700 Facebook-sidor, med omkring tio miljoner följare, som de kunde erbjuda sina kunder exponering mot.
Vad kunderna möjligen inte visste, var att sidorna nådde sin publik genom en industriell produktion av fejknyheter. Och, förstås, att en hel del av dessa följare sannolikt var bottar.
Varje digital utredning är unik. Men skulle man sammanfatta våra erfarenheter ovan till någon sorts lärdomslista, skulle den kanske se ut så här:
- Kartlägg det du undersöker. Hur långt sträcker det sig, i vilka riktningar? Men gå inte för fort fram – arkivera det du stöter på längs med vägen, ifall det tas bort innan du är klar.
- Notera allt som skulle kunna kopplas till en enda person eller aktör: telefonnummer, mejlkonton, hemsidor, ip-adresser och annat som kan vara utmärkande. Man vet aldrig när oväntade länkar kan dyka upp mellan sådant som först verkade oviktigt.
- Ge inte upp. Någonstans finns en spricka i fasaden – men man kan behöva knacka mycket vägg, med många olika verktyg, för att hitta den. OSINT-genrens hemlighet är att ingen någonsin vet vilka vägar som kommer att leda framåt i en utredning. De mest imponerande genombrotten går nästan alltid att koka ner till tur och tålamod.
Jonthan Lundberg