Szymon Nawrocki: Kradzież tożsamości w internecie na portalach społecznościowych

instytutsprawobywatelskich.pl

SZYMON NAWROCKI: KRADZIEŻ TOŻSAMOŚCI W INTERNECIE NA PORTALACH SPOŁECZNOŚCIOWYCH

Jeśli zdarzyło ci się kiedyś pomyśleć: Kradzież tożsamości? Przecież to nie zdarza się zwykłym ludziom! – to po lekturze tekstu Szymona Nawrockiego zmienisz zdanie. Autor pokazuje, jak wyglądają kradzieże kont na portalach społecznościowych. Wyjaśnia, po co przestępcom twój wizerunek i mówi o sposobach zapobiegania i zmniejszania ich skutków.

Wprowadzenie

Kradzież tożsamości jest zjawiskiem przestępczym, polegającym na wykorzystywaniu cudzego wizerunku, lub innych danych osoby, za pomocą których jest ona publicznie identyfikowana, w celu wyrządzenia jej szkody majątkowej, lub osobistej. W Polsce przestępstwo to skodyfikowane jest w art. 190a §2 kk i grozi za nie kara pozbawienia wolności od 6 miesięcy do lat 8, zaś w postaci kwalifikowanej czynu, której następstwem jest targnięcie się na własne życie poszkodowanego, kara wynosi od 2 do 12 lat pozbawienia wolności. Co istotne ściganie następuje na wniosek pokrzywdzonego.[1] Sama kradzież tożsamości może przejawiać się na różne sposoby. Począwszy od pozyskania danych ofiary z publicznych wycieków a potem wykorzystaniu ich w celach przestępczych np. poprzez zaciąganie kredytów, wciągnięcie w proces prania brudnych pieniędzy, czy poprzez spersonalizowany atak na daną osobę w celu uzyskania danych o niej (np. loginu i hasła do Facebooka), aby później móc założyć fałszywe konta, podając się za nią, przykładowo w celu wprowadzenia dezinformacji, zniesławienia itp. Ofiarami kradzieży tożsamości często padają osoby publiczne, ze względu na ich dużą popularność, która przyciąga atakujących korzyściami finansowymi, jakie mogą osiągnąć poprzez podawanie się za znane i lubiane osoby. Niemniej ataki na osoby „zwyczajne”, jak najbardziej się zdarzają, co więcej są również bardzo częste.

Jak dochodzi do kradzieży tożsamości?

    W przypadku internetu kradzież tożsamości w większości przypadków nie jest zadaniem dość trudnym, ze względu na fakt, iż nawet osoba bez wiedzy technicznej może założyć profil na jednym z portali społecznościowych np. Facebook, Instagram, Twitter.

Nikt nie weryfikuje na etapie rejestracji, czy dany użytkownik podaje dane prawdziwe, dlatego nie jest problemem utworzenie profilu na cudze dane, a także wstawienie zdjęcia danej osoby, jeśli pojawiło się ono internecie. Ponadto w celu dalszego uwiarygodnienia profilu, złodziej tożsamości może posłużyć się danymi, które dostępne są publicznie w internecie, w wielu przypadkach wystarczą zwykłe działania w ramach OSINT-u [2]. Na ich podstawie możemy ustalić naprawdę wiele, począwszy od daty urodzenia, po nr PESEL i dane teleadresowe, co gorsza część z tych danych niejednokrotnie dostarczana jest nieświadomie do informacji publicznej przez same późniejsze ofiary. Dysponując już takimi danymi, cyberprzestępca spokojnie może założyć profil w portalach społecznościowych, oraz dodawać do grona znajomych inne osoby, oraz zamieszczać nieprawdziwe informacje o ofierze, konto na którym skradziono czyjąś tożsamość może również udostępniać złośliwe oprogramowania osobom z kręgu prawdziwych znajomych ofiary, wykorzystując w tym wypadku zasadę lubienia istnieje znacznie większa szansa, że znajomy ofiary otworzy wiadomość od „swojego kolegi”, niż od obcej osoby, a co za tym idzie da sobie wprowadzić szkodliwe oprogramowanie. Co do zasady nie ma skutecznej metody na zabezpieczenie się przed kradzieżą tożsamości, niemniej istnieją metody pozwalające zmniejszyć szkody nią wyrządzone, oraz pewne środki prewencyjne, które zostaną przedstawione w dalszej części artykułu.

Przejęcie cudzego konta w portalu społecznościowym

Niejednokrotnie w przypadku kradzieży tożsamości dochodzi do całkowitego przejęcia konta, w portalu społecznościowym. Może do tego dojść na wiele sposobów, najbardziej banalnym jest wyciek danych, wtedy atakujący dysponuje wszystkimi elementami potrzebnymi do przejęcia konta, gdyż posiada login i hasło, kolejną opcją wymagającą już większej wiedzy i umiejętności jest atak za pomocą różnych szkodliwych programów, czy socjotechniki. Atak za pomocą złośliwych oprogramowań takich jak keylogger[3], czy password cracker[4] pozwala na dostęp do danych użytkownika a następnie wykorzystanie ich do przejęcia rzeczywistego konta, oraz odcięcia dostępu do niego realnemu właścicielowi. Popularnym sposobem na przejęcie cudzej tożsamości, nie tylko w wypadku portali społecznościowych, ale również w innych przypadkach jest phishing[5]. Czasem nawet ten w najprostszej postaci, czyli zwykłej wiadomości e-mail skłania nieświadomych użytkowników do przesłania w wiadomości zwrotnej danych logowania. Istnieją także bardziej skomplikowane warianty, przy których wykorzystywane są zaawansowane narzędzia, dochodzi do klonowania stron, wysyłania wiadomości z podobnych do prawdziwych adresów email, przez co nawet osoby, które są świadome takich zagrożeń dają się złapać. W momencie zaś, gdy ofiara orientuje się. Co się stało bardzo często jest już za późno na odzyskanie danych.

    Co gorsza w przypadku wielu portali społecznościowych nie wypracowano skutecznego modelu odzyskiwania konta. Takim przykładem jest Facebook, czyli największy i najpopularniejszy taki portal na świecie. W momencie, gdy dojdzie do kradzieży tożsamości, a przestępca zmienił hasło, telefon oraz adres e-mail, odzyskanie skradzionego konta jest bardzo trudne.

Przede wszystkim nie znajdziemy nr telefonu na infolinię Facebooka, bo takowa nie jest dostępna publicznie, co więcej nie napiszemy do nich e-maila z prośbą o pomoc, gdyż taki również nie jest podany. Jedyne co możemy zrobić to korzystanie z gotowych formularzy, których skuteczność, jest mało efektywna. Rzecz jasna sprawę kradzieży naszej tożsamości możemy zgłosić do odpowiednich organów ścigania, niemniej należy się nastawić na długotrwały proces dochodzenia, który może nie przynieść skutków. Rzeczą, którą powinniśmy w takiej sytuacji zrobić jest poinformowanie faktycznych znajomych o zaistniałym fakcie, oraz poproszenie ich o zgłaszanie ukradzionego nam konta do Facebooka, przez co istnieje szansa na to, że konto zostanie zablokowane. Jeśli mieliśmy takie samo hasło w innych portalach, należy je natychmiast zmienić na inne, o czym szerzej w dalszej części artykułu. Ofiara, jeśli nadal będzie chciała korzystać z usług danego portalu, w tym wypadku Facebooka, może założyć nowe konto, o czym wcześniej powinna poinformować znajomych, oraz zamieścić post, w którym informuje, że jej poprzednie konto zostało ukradzione, w przypadku gdy zgłosiła sprawę, na Policję, powinna czekać na ustalenia tego organu.

Skutki kradzieży tożsamości na portalu społecznościowym

Początkowo mogłoby się wydawać, że utrata zwykłego konta na portalu społecznościowym to nic wielkiego, w końcu nie tracimy czegoś namacalnego. Nic bardziej mylnego, gdyż w dzisiejszych czasach, zwłaszcza wśród ludzi młodych życie prywatne toczy się w dużej mierze w sieci.

    Dostęp do takiego konta daje złodziejowi tożsamości ogromne możliwości, może on poznać nasze upodobania, naszych znajomych, odczytywać nasze wiadomości, zamieszczać nowe oczerniające nas informacje, lub rozpocząć szantaż.

Facebook, jest bardzo ciekawym przypadkiem, ze względu na jego dostępność, oraz połączenie z komunikatorem Messenger, za pomocą którego młodzież, ale także starsi przekazują masę informacji, również tych osobistych. Do takich informacji można zaliczyć praktycznie wszystko, począwszy od wiadomości, zdjęć dokumentów, adresów zamieszkania, czy także nagich zdjęć wysyłanym partnerom[6]. W momencie, gdy przestępca będzie dysponował takimi danymi może z nimi zrobić absolutnie wszystko, począwszy od upublicznienia, które odrze ofiarę z prywatności, aż po wykorzystanie ich w innych celach przestępczych np. zaciągnięcia kredytu, dokonywania zakupów na dane ofiary itp. Kolejnym skutkiem jest również to, że przestępca zna nasz adres e-mail i hasło, przez co w przypadku, gdy ofiara używa takiego samego hasła do wielu portali, z łatwością może je przejąć i wykorzystać.

Sposoby na ograniczenie kradzieży tożsamości

Jak wspomniano wcześniej nie istnieje skuteczny sposób na zabezpieczenie się przed kradzieżą tożsamości. Istnieją jednak sposoby, utrudniające ten proceder, oraz ograniczające skutki potencjalnego ataku.

    Podstawową rzeczą, jaką należy robić, aby chronić się przed tego typu atakami, jest stosowanie silnych haseł, które nie są identyczne. Na samym początku trzeba zaznaczyć, że nie ma takiego hasła, którego nie da się złamać, jeśli ktoś je wymyślił, to znaczy, że ktoś inny również może je złamać.

W chwili obecnej zaleca się używanie skomplikowanych haseł, składających się z małych i dużych liter, cyfr, znaków specjalnych np.”45J86\<8pRSs4Zyv\$ve”. Rzecz jasna zapamiętanie takiego hasła jest przynajmniej problematyczne, a co dopiero parunastu, czy parudziesięciu takich haseł. Istnieje jednakże w miarę bezpieczny sposób na posiadanie wielu takich haseł bez konieczności ich zapamiętywania. Tym sposobem jest korzystanie z menedżera haseł. Jest to oprogramowanie zapisujące nasze hasła, wraz z loginami, wpisuje ono również automatycznie hasło do danej usługi przez co eliminujemy ryzyko przechwycenia danych przez key loggera. Na rynku istnieje wiele takich oprogramowań najpopularniejsze to KeePass, One password, Pęk Kluczy Apple. W zależności od wybranej wersji hasła będą przechowywane w wirtualnej chmurze, bądź tylko na dysku danego komputera (ta opcja ogranicza przejęcia haseł w większym stopniu, niemniej w przypadku awarii sprzętu możemy utracić je bezpowrotnie). Dostępu do nich strzeże jedno silne hasło, tzw. master password (tłum. z ang. mistrzowskie hasło) i tylko to hasło należy pamiętać, resztę unikalnych skomplikowanych haseł będzie losowo generował program. Również w tym przypadku zapamiętanie ciągu znaków może być dla wielu zadaniem trudnym, dlatego można utworzyć hasło słownikowe, czyli składające się z wyrazów. Ważne, by w ich przypadku było to hasło długie, nie powiązane z naszą rodziną, zwierzęciem, czy danymi osobowymi. Dobrym pomysłem jest wstawianie pułapek o których tylko my będziemy wiedzieć np. zamiast prawidłowej pisowni wyrazu książka, zastosujmy „ksiarzka”, takie działania utrudniają łamanie haseł przez komputery, oraz przy odgadywaniu haseł przez ludzi. Przykładem długiego, w miarę bezpiecznego hasła słownikowego będzie: „Kupiłemsobie1pzepieknablozkękolrujasnoczarnegoza39,98Zlotego”. Tak utworzone hasło zawiera szereg błędów gramatycznych, stylistycznych, ortograficznych, niemniej jest również łatwe do zapamiętania, jest długie zawiera szereg pułapek, o których wie tylko autor. Jest to oczywiście przykład, każdy powinien kierować się tu własnymi skojarzeniami, które łatwo zapamięta, jednocześnie starając się maksymalnie skomplikować zadanie atakującemu. Warto przy tym zaznaczyć, że niektóre programy np. Pęk Kluczy Apple pozwala na logowanie się do niego za pomocą odcisku linii papilarnych, czy technologii rozpoznawania twarzy na niektórych urządzeniach, dzięki czemu nie trzeba wpisywać hasła za każdym razem. Z kolei osoby, które nie ufają takim programom, mogą oczywiście zapisywać hasła w zeszycie, który przechowywany jest w bezpiecznym miejscu. Tak naprawdę nie jest to wcale zły pomysł, ze względu, na fakt, że ryzyko włamania do mieszkania jest mniejsze niż do komputera. Najważniejsze jednak, by za każdym razem stosować inne hasło, gdyż nawet, gdy wycieknie ono z przyczyn niezależnych od nas, wtedy reszta naszych kont jest w miarę bezpieczna i tracimy dane tylko z jednego źródła.

    Stosowanie uwierzytelniania wielopoziomowego, jest również jedną z metod, ograniczających kradzież tożsamości. Do najpopularniejszych i najprostszych należy korzystanie z funkcji kodów SMS, pozwalających weryfikować do pewnego stopnia tożsamość osoby, chcącej się zalogować, gdyż musi ona posiadać kod wysłany wiadomością SMS.

Niemniej przestępcy posiadają narzędzia do przechwycenia tego kodu, dlatego nie jest ona niezawodna. Na chwile obecną najbezpieczniejszym sposobem, ale również najdroższym jest korzystanie z kluczy U2F. Są to małe urządzenia, przypominające pen-drive. Ich używanie polega na włożeniu urządzenia (klucza U2F) do komputera, lub telefonu, po czym dopiero następuje logowanie. Jest on przypisywany do danego konta, bez jego fizycznego użycia nie da się zalogować. Co istotne nie da się go skopiować, dlatego nawet jeśli przestępcą zna nasze hasło nie zaloguje się bez jego użycia. Do jednego konta można przypisać kilka kluczy (zaleca się używanie dwóch, jeden w użyciu na co dzień, drugi w zapasie w bezpiecznym miejscu). Jest to na razie najbezpieczniejsze i do tej pory nie złamane zabezpieczenie.

Udostępnianie jak najmniejszej ilości informacji o nas samych w internecie, jest dobrym nawykiem, który pomaga zmniejszyć skutki wycieku danych w ramach kradzieży tożsamości. Oczywiście, w XXI wieku stanie się całkowicie anonimowym jest praktycznie niewykonalne, jednakże należy mieć świadomość, że mamy jako świadomi użytkownicy sieci pewien wpływ na to, co się dzieje z naszymi danymi. Przede wszystkim nie wysyłajmy wrażliwych danych osobowych za pomocą komunikatorów internetowych, jeśli musimy już to zrobić, lepszym rozwiązaniem jest rozmowa telefoniczna (przy założeniu, że zweryfikowaliśmy naszego rozmówcę), pozostawia mniej śladów. Nie udostępniajmy także wszystkich szczegółów z naszego życia na portalach społecznościowych. Człowiek z natury lubi się chwalić, jednakże poprzez pokazanie w swoim życiorysie wszystkich szkół, miejsc pracy stanowisk, bardzo łatwo jest uzyskać dane na temat nas i naszych znajomych, to samo tyczy się polubień i komentarzy na Facebooku, jest to istna kopalnia wiedzy na temat nas samych, które cyberprzestępca z chęcią wykorzysta. Najgorszym przykładem zaś jest wstawienie i upublicznienie posta prezentującego nasze świadectwo szkolne, czy naszych dzieci. Po pierwsze pokazuje ono, jakie są rzeczywiste efekty kształcenia danej osoby, po drugie dane osobowe, często nie są zamazane, co tylko pogarsza sprawę. Innym przykładem takiego zachowania jest udostępnienie zdjęcia aktu notarialnego. Miejmy na uwadze, że nie wszyscy w internecie cieszą z naszego szczęścia i mogą chcieć je wykorzystać przeciwko nam.

Bardzo ważne jest także regularne aktualizowanie swojego oprogramowania komputerowego, nie wchodzenie w podejrzane linki, czy reklamy. Nie należy także pobierać darmowych rozszerzeń, które oferują nam przyspieszenie komputera, należy pamiętać, że jeżeli coś jest w internecie za darmo, to zazwyczaj my jesteśmy zapłatą, a właściwie nasze dane. Nie należy także odpowiadać na wiadomości od nieznanych ludzi oferujących zyski bez wychodzenia z domu. Są to oszustwa, które mogą wpakować nieświadomego użytkownika w niemałe kłopoty prawne. Nieświadomie można stać się „słupem” i wziąć udział w procederze prania brudnych pieniędzy. Zawsze należy pamiętać, że internet jest miejscem co do zasady niebezpiecznym, w którym tak samo jak w realnym życiu możemy stać się ofiarą przestępstwa.

Co zrobić jak dojdzie do kradzieży tożsamości?

Przede wszystkim jak w przypadku każdej sytuacji wywołującej wzburzenie, należy zachować spokój i nie podejmować gwałtownych decyzji. Nagłe emocje nigdy nie są dobrym doradcą.

W przypadku, gdy mamy podejrzenie, że mogły zostać wykradzione dane, takie jak nasz nr PESEL, czy nr dowodu osobistego, należy niezwłocznie unieważnić dowód osobisty i zgłosić nieuprawnione wykorzystanie danych osobowych za pośrednictwem strony gov.pl[7].

Warto w tym miejscu zaznaczyć, że nie musimy mieć w tym wypadku dowodu na to, że okradziono nas z tożsamości, wystarczy jedynie nasze podejrzenie. Może się zdarzyć oczywiście, że takie dane nie wyciekły, niemniej nawet jeśli tak by się stało to lepiej zareagować w ten sposób, niż potem żałować. Nikt nas nie ukarze, za walkę o własne bezpieczeństwo. Dobrym sposobem, jest także odwiedzenie strony Biura Informacji Kredytowej i aktywowanie tam usługi Alerty BIK, która będzie nas informować, gdy ktoś będzie chciał użyć naszych danych np. do wzięcia kredytu. Należy także poinformować najbliższe grono o tym, że taka sytuacja miała miejsce. Sprawę należy również zgłosić do odpowiednich służb, gdyż ściganie tego przestępstwa następuje na wniosek pokrzywdzonego. Bardzo ważne, jak nie najważniejsze jednakże jest to, by nie działać chaotycznie, w pośpiechu, gdyż na takie zachowania liczy przestępca, czasem nawet pozwoli mu to na pozyskanie większej ilości danych. Jeśli nie jesteśmy w stanie sami poradzić sobie z problemem, nie należy bać się prosić o pomoc. Nawet z najtrudniejszych sytuacji jest możliwe wyjście, wymaga jednak naszego działania. Bierność w tym przypadku to droga do porażki i dalszych wycieków danych.

Podsumowanie

Kradzież tożsamości, jest poważnym przestępstwem, z tego względu, że odziera nas niejednokrotnie z czegoś więcej niż dobra materialne. Pozwala na pewnego rodzaju pozbawienie tożsamości w celu wykorzystania jej przeciwko nam. Wariantów kradzieży tożsamości jest ogrom, te przedstawione w niniejszym artykule dotyczą przede wszystkim portali społecznościowych, jest to jedynie kropla w morzu tego zjawiska, które przy obecnym rozwoju internetu i technologii będzie tylko rosnąć. Warto w tym miejscu zauważyć, że ciemna liczba tego zjawiska pozostaje niemal niemożliwa do oszacowania ze względu na fakt iż niewielu ludzi zgłasza taki proceder do organów ścigania. Sprawy nie ułatwia statystyka policyjna, ze względu na fakt iż kradzież tożsamości skodyfikowana jest w art. 190a kk, który dotyczy przede wszystkim zagadnienia stalkingu, w związku z czym oba czyny karalne są ujęte w danej statystyce. Niemniej nawet te dane mówią o ciągłym wzroście z roku na rok przestępstw stwierdzonych. Przykładowo w 2012 liczba przestępstw stwierdzonych z art. 190a kk wynosiła 2690, a w 2017 wynosiła już 4204[8].

    Jedno jest pewne, najsłabszym systemem zabezpieczenia jest człowiek i nawet najlepsze systemy nie uchronią nas przed kradzieżą tożsamości.

Nie można jednak podawać na tacy naszych danych przestępcom, dlatego musimy mieć zawsze z tyłu głowy podstawowe zasady bezpiecznego poruszania się po internecie, oraz mieć świadomość jak postąpić, gdy dojdzie do kradzieży naszej tożsamości.

Przypisy:

[1] Zob. art. 190a kk.

[2] OSINT (Open Source Intelligence tłum. z ang. rozpoznanie z ogólnodostępnych sieci) nazywany również białym wywiadem, polega na pozyskiwaniu danych, które znajdują się ogólnodostępnie w sieci, niemniej ich odnalezienie wymaga niejednokrotnie korzystania ze specjalnych komend, wyszukiwarek, programów.

[3] Keylogger jest to urządzenie, bądź oprogramowanie, mające na celu rejestracje i przesłanie za pośrednictwem sieci internetowej zapisów, jakie powstały poprzez naciskanie klawiszy klawiatury podpiętej do urządzenia.

[4] Password cracker tłum. z ang. łamacz haseł jest to oprogramowanie służące do łamania haseł.

[5] Phishing jest to jeden z typów ataków socjotechnicznych wykorzystujący podatność ludzi na różne informacje zawarte zazwyczaj w wiadomości e-mail, najprostsze formy ataków phishingowych nie zawierają nawet złośliwych oprogramowań i opierają się na naiwności ofiar, zaś te najbardziej zaawansowane wykorzystują specjalne oprogramowania.

[6] Sexting jest to forma wymiany korespondencji internetowej, w której przekazie występują wiadomości tekstowe o podtekście seksualnym, bądź zdjęcia o tym samym charakterze, często osoby przedstawiane na zdjęciach są całkowicie nagie.

[7] Konkretnie https://www.gov.pl/web/gov/zglos-nieuprawnione-wykorzystanie-swoich-danych-osobowych-kradziez-tozsamosci–uniewaznij-dowod (dostęp w dniu 25.05.2021).

[8] Dane ze strony https://statystyka.policja.pl/st/kodeks-karny/przestepstwa-przeciwko-4/76586,Uporczywe-nekanie-i-wykorzystanie-wizerunkuart-190a.html (dostęp w dniu 25.05.2021).

Bibliografia

1. Hadnagy, C., Fincher, M. (2016). Mroczne odmęty phishingu. Nie daj się złowić!, Gliwice: Helion.
2. Lach, A. (2012) Kradzież tożsamości. Prokuratura i prawo. Warszawa: Prokuratura Krajowa
3. Męzik, A. (2013/2014). Rodzaje kradzieży tożsamości oraz przypadki kradzieży tożsamości w Polsce. Biuletyn PTK n21. Warszawa: Zakład Kryminologii INP PAN
4. Nycz, M., Gerka, A., Hajder M. (2017) Edukacja w zakresie metod i środków ochrony tożsamości w sieci. Rzeszów, Edukacja-Technika-Informatyka nr 3/21/2017: Wydawnictwo UR
5. Trejderowski, T. (2013). Kradzież tożsamości. Terroryzm Informatyczny. Warszawa: ENETEIA Wydawnictwo Psychologii i Kultury
6. Ustawa z dnia 6 czerwca 1997 r. Kodeks karny ( Dz. U. z 2020 r. poz. 1444 z późn. zm.
7. https://www.bik.pl/klienci-indywidualni/zastrzeganie-dokumentu-tozsamosci (dostęp w dniu 25.05.2021)
8. https://www.gov.pl/web/niezagubdzieckawsieci/sexting-i-nagie-zdjecia-twojedziecko-i-negatywne-zachowania-online (dostęp w dniu 25.05.2021)
9. https://www.gov.pl/web/gov/zglos-nieuprawnione-wykorzystanie-swoich-danych-osobowych-kradziez-tozsamosci–uniewaznij-dowod (dostęp w dniu 25.05.2021)
10. https://www.infor.pl/prawo/gmina/dowod-osobisty/4719053,Kradziez-tozsamosci-co-zrobic.html (dostęp w dniu 25.05.2021)
11. https://www.prawo.pl/prawo/kradziez-tozsamosci-ministerstwo-cyfryzacji-zapowiada-zmiane,433945.html (dostęp w dniu 25.05.2021)
12. https://statystyka.policja.pl/st/kodeks-karny/przestepstwa-przeciwko4/76586,Uporczywe-nekanie-i-wykorzystanie-wizerunkuart-190a.html (dostęp w dniu 25.05.2021).