Profile na portalach społecznościowych to dla przestępców prawdziwa kopalnia danych – ostrzegają eksperci cyberbezpieczeństwa i wymieniają możliwe zagrożenia. Wrzucanie publicznych postów z wakacji i oznaczanie lokalizacji, pokazywanie wnętrz mieszkań czy zamieszczanie filmików z własnym głosem mogą być wykorzystane na przykład do zaplanowania rabunku czy wygenerowania deepfake’ów. Tymczasem unijne prawodawstwo nie do końca jeszcze chroni dane użytkowników. Jednym z problemów jest to, że większość platform nie działa zgodnie z europejską literą prawa.
Jednym z najczęstszych celów ataków cyberprzestępców jest sektor medyczny, w którym gromadzone są dane szczególnie wrażliwe, bo dotyczące zdrowia pacjentów. Z raportu „Cyberzagrożenia opieki zdrowotnej”, opublikowanego przez Cyber360, wynika, że od kwietnia 2022 do marca 2023 roku w dark web o 35 proc. wzrosła liczba postów z danymi dotyczącymi opieki zdrowotnej. Łącznie było ich 450. W tym samym czasie ujawniono prawie 1,2 tys. prób phishingu, wymierzonych w podmioty służby zdrowia. 63,5 proc. domen phishingowych, podszywających się pod witryny organizacji opieki zdrowotnej w ciągu ostatniego roku korzystało z protokołu HTTPS.
– Dochodzi do różnego rodzaju sytuacji absurdalnych, jak słynne już w memach listy kolejkowe pacjentów w przychodniach, gdzie anonimizowano pacjentów poprzez nadawanie im pseudonimów. Pytanie, czy to faktycznie poprawia komfort i ochronę danych osobowych tych pacjentów w sytuacji, w której chociażby kilka miesięcy później dostajemy informację o wycieku danych chociażby z ALAB-u. Sektor medyczny jest jednym z częściej atakowanych i jednym z najsłabiej chronionych. Nie chodzi o to, że firmy nie dbają o cyberbezpieczeństwo, ale o to, że w sektorze medycznym jest cała masa bocznych furtek. Ot zwykła drukarka podłączona do sieci Wi-Fi to już może być boczna furtka, którą cyberprzestępcy wykorzystają do tego, żeby po prostu zinfiltrować naszą sieć – wyjaśnia w wywiadzie dla agencji Newseria Innowacje dr Piotr Łuczuk, ekspert do spraw cyberbezpieczeństwa, wicedyrektor Instytutu Edukacji Medialnej i Dziennikarstwa Uniwersytetu Kardynała Stefana Wyszyńskiego.
To jednak sytuacja, na którą jako osoby udostępniające dane osobowe niekoniecznie możemy mieć wpływ. Równie groźna może być jednak zdaniem ekspertów nieostrożność, towarzysząca nam na co dzień podczas korzystania z social mediów.
– Udostępniamy w internecie na nasz temat masę danych, dotyczących tego, kogo znamy, z kim się spotykamy, gdzie i co jemy, gdzie się znajdujemy. To są wszystko dane. Tak naprawdę w rozmowie o danych musimy zastanowić się, czy wrócić do kwestii samego pojęcia, czym są dla nas dane, które czy na szczeblu państwowym, czy na szczeblu europejskim, czy w ogóle globalnym należałoby chronić. Czy będziemy mówić o danych wrażliwych, typu imię, nazwisko, numer PESEL, ewentualnie jakiś numer ubezpieczenia czy numer konta bankowego? Wydaje mi się, że nikt przy zdrowych zmysłach nie biega po ulicy z kartą kredytową i np. nie krzyczy, że to jest mój numer PIN do bankomatu. Tymczasem, kiedy przejrzymy portale społecznościowe, tam możemy zobaczyć, jak wiele właśnie tych danych ujawniamy na nasz temat. Okazuje się, że np. na podstawie takich zdjęć czy filmików z mediów społecznościowych jesteśmy w stanie po prostu zweryfikować, czy ktoś jest w danym momencie w domu, mieszkaniu, czy ma założony system alarmowy, gdzie znajdują się czujki alarmowe – mówi dr Piotr Łuczuk.
Okazuje się, że na podstawie tego, co pokazujemy w mediach społecznościowych, potencjalny złodziej może się też na przykład dowiedzieć, że wyjechaliśmy na wakacje, a także dokładnie poznać topografię mieszkania i zweryfikować, czy pod nieobecność domowników ktoś go pilnuje.
– Z filmów pamiętamy taki obraz, że szpiedzy czy oficerowie wywiadu obserwowali np. swojego figuranta czy potencjalną ofiarę, zapoznawali się z rytmem dnia, z kręgiem znajomych i szukali jakiegoś punktu przełomu. Przecież w tym momencie te wszystkie dane są dostępne na wyciągnięcie ręki, dosłownie. Jednym kliknięciem jesteśmy w stanie zrobić sobie bardzo szybki research i dowiedzieć się bardzo wielu rzeczy na temat naszych przyjaciół, wrogów, kontrahentów, wspólników czy biznesowych przeciwników. Ten cyfrowy ślad, który po sobie zostawiamy, ciągnie się setkami kilometrów za nami – dodaje ekspert.
Kolejną groźną sytuacją jest ta, w której cyberprzestępcy uzyskują dostęp do kont w mediach społecznościowych lub urządzeń, takich jak telefon, w pamięci których nierzadko znajdują się chociażby zdjęcia awersu i rewersu dowodu osobistego. Często do przechwycenia danych logowania do banku mogą służyć na przykład wysyłane w fałszywych SMS-ach linki. CERT Polska stworzył serwis Bezpieczna Poczta, który ma chronić użytkowników poczty elektronicznej. Od połowy sierpnia 2023 roku użytkownicy sprawdzili za jego pomocą prawie 19 tys. domen, a prawie 8 tys. zostało sprawdzonych więcej niż raz. CERT Polska zainaugurował też projekt Artemis, którego głównym celem jest wzmocnienie zdolności do wykrywania, analizowania i reagowania na incydenty bezpieczeństwa cyfrowego w sposób bardziej efektywny i zautomatyzowany. W 2023 roku łącznie przeskanowano niemal 51 tys. domen i adresów IP oraz ponad 250 tys. subdomen. Zgłoszono prawie 184,8 tys. podatności lub błędnych konfiguracji.
– Upowszechnienie albo zdobycie danych na nasz temat może poskutkować wygenerowaniem masy sztucznych tożsamości, które będą się pod nas podszywać, żeby oszukiwać inne osoby, legitymizować się niejako w sieci, prowadzić kampanie dezinformacyjne, angażować się w trolling internetowy. Tak że tutaj tych pól wykorzystania naszych danych, niewinnych teoretycznie, imię, nazwisko, coś, co w zasadzie znajdziemy ot tak w ciągu milisekundy przy wyszukiwaniu chociażby czy przeglądaniu mediów społecznościowych – mówi wicedyrektor Instytutu Edukacji Medialnej i Dziennikarstwa Uniwersytetu Kardynała Stefana Wyszyńskiego.
Nawet na podstawie tak podstawowych danych, połączonych z informacjami o tym, gdzie mieszkamy, w jakim kręgu kulturowym żyjemy, jak się wysławiamy, można opracować mechanizm do szkolenia sztucznej inteligencji, która wygeneruje deepfake. To zjawisko, którego ofiarami padają m.in. znani politycy czy biznesmeni.
– Prezes InPostu właśnie ostatnio informował o tym, że został obiektem deepfake’a, spreparowano materiały rzekomo z jego udziałem, w których mówi rzeczy, których w życiu raczej by nie powiedział. Te materiały zostały opublikowane w mediach społecznościowych i próba ich usunięcia stamtąd, próba negocjowania chociażby z władzami czy administracją Facebooka niestety okazała się nierealna. Więc też to pokazuje, że prawo prawem, pomysły na legislację to jest jedna strona medalu, natomiast egzekwowanie później swoich praw i możliwości usunięcia danych np. na nasz temat, jakichś prezentujących kłamliwe treści, to już jest znacznie, znacznie trudniejsze zadanie – przytacza dr Piotr Łuczuk.
W ślad za rosnącymi wyzwaniami na szczeblu prawodawstwa unijnego budowane są rozwiązania, które mają chronić dane osobowe, zarówno w przestrzeni publicznej, jak i sieci. Sztandarowym przykładem jest RODO, czyli Ogólne rozporządzenie o ochronie danych. Kolejną unijną konstrukcją jest dyrektywa NIS2, skupiająca się na w sektorach takich jak energetyka, transport czy ochrona zdrowia, a także podmioty z branży cyfrowej, w tym dostawcy usług społecznościowych czy pocztowych. Jej elementami są m.in. audyty bezpieczeństwa IT i opracowywanie polityki bezpieczeństwa.
– Problem polega na tym, że większość mediów społecznościowych nie jest utworzona, wytworzona i nie prowadzi stricte swojej działalności w oparciu o europejski system prawny, więc znowu to jest przepychanka legislacyjna, którą myślę, że z powodzeniem zajęliby się prawnicy. Natomiast całkiem realnie mówiąc, jeżeli dane medium społecznościowe funkcjonuje w oparciu o przepisy prawa amerykańskiego albo przepisy prawa chińskiego, w tym momencie trudno jest np. wyobrażać sobie to, że TikTok będzie naginał się do dyrektyw unijnych. On może to zrobić, tak samo jak może to zrobić Facebook czy całe imperium Marka Zuckerberga, pytanie, czy to zostanie zrobione – zastanawia się badacz.
