Niebezpieczne aplikacje związane z Barbie mogą wyciągać od nas ważne dane. Minister Cyfryzacji: "chrońmy swoje hasła" [NASZA ROZMOWA]

Maciej Rajfur: Ministerstwo ostrzega przez aplikacjami barbieselfie.ai i bairbie.me, które służą do przetwarzania zdjęć w stylu słynnej lalki Barbie. Na czym polega ich niebezpieczeństwo?

Janusz Cieszyński: Niebezpieczeństwo tego typu aplikacji polega na tym, że korzystając z masowości aktualnego trendu. Użytkownicy bez zastanowienia przekazują cały szereg danych wrażliwych.

Czy wiemy dokładnie, jakie dane mogą zbierać aplikacje i jakie to niesie konsekwencje?

Jedna z tych aplikacji (barbie.me) nie informuje, jaki zakres danych przetwarza. Natomiast dane zbierane przez te aplikacje to dane użytkownika WEB, czyli numer IP, geolokalizacja numeru IP, rodzaj przeglądarki i inne elementy, jak adres e-mail oraz zdjęcia. Warto jednak zwrócić uwagę, że popularność tej aplikacji spowodowała, że podmiot zbierający dane, uzyskał bardzo dużo aktualnych informacji osobowych o formalnie nieznanym celu przetwarzania tych danych.

Do czego mogą służyć takie dane? Jak mogą nam zaszkodzić?

Takie dane potencjalnie mogą być stosowane np. do budowy baz danych umożliwiających nauczanie algorytmów sztucznej inteligencji. Mówię o całym szereg zastosowań, ale przede wszystkim o danych dla Generative AI, uzyskanych bez informacji użytkownika o zakresie przetwarzania jego zdjęcia. Istnieje także potencjalna możliwość szerokiego przetwarzania behawioralnego i to niemalże w skali masowej ludzi. Chodzi o ocenę emocji użytkowników na poziomie jednostki i całych grup społecznych. Idąc dalej, przez te dane dochodzi do oceny poglądów politycznych w profilowaniu behawioralnym w skali jednostkowej, regionalnej oraz krajowej. Jest to informacja krytyczna dla wywiadów państw obcych. Analizy tego typu są wielokrotnie publikowane przez naukowców w tym np. pana Michała Kosińskiego z Uniwersytetu w Stanford.

Jak Ministerstwo dotarło do takich informacji, że te aplikacje są niebezpieczne? Ktoś to zgłosił?
Informacja o tych aplikacjach, a zwłaszcza o masowości przetwarzania danych przez te aplikacje, wynikała zarówno z prac własnych ekspertów ministerstwa, ale i medialnych informacji.

Czy wiadomo coś o ofiarach tych aplikacji? Kogoś oszukały? Zebrały newralgiczne dane?
W przypadku takich aplikacji nie mówimy o ofiarach indywidualnych, a raczej o działaniach podmiotów, np. zagranicznych, bo wówczas problem wymyka się poza poziom krajowy. W przypadku kradzieży danych indywidualnych z wykorzystaniem tego typu aplikacji – takie zdarzenia są monitorowe przez odpowiednie służby.

Da się zatem korzystać z takich aplikacji w sposób bezpieczny, czy trzeba je omijać szerokim łukiem? Jest jakaś metoda, która pozwoli korzystać z tego, ale omijać niebezpieczeństwo wykradnięcia danych?
Niestety, nie jest to proste. Tę kwestię należy rozwiązać na poziomie globalnym, regulując przetwarzanie danych. Na poziomie Europy to dyrektywy w związku z RODO oraz nowa dyrektywa o sztucznej inteligencji, która nakłada bardzo wysokie kary na twórców tego typu rozwiązań. W stosunku do użytkowników indywidualnych musimy dbać o rozwój edukacji i kompetencji cyfrowych. Tym między innymi zajmuje się Ministerstwo Cyfryzacji w wielu obszarach, poprzez liczne kampanie społeczne właśnie w Internecie oraz pozostałych mediach. Prowadzimy też bieżącą działalność informacyjną resortu. W tym kontekście ważne są prace jednego z departamentów ministerstwa, jakim jest Centrum Rozwoju Kompetencji Cyfrowych.

Czy wcześniej były podobne alerty wydawane przez ministerstwo? Jak często zdarzają się podejrzane aplikacje, przed którymi należy ostrzegać?
Na bieżąco informujemy o zagrożeniach, które dostrzegamy w sieci. Czuwają nad tym m.in. pracownicy zespołu CERT Polska, który działa w strukturach Naukowej i Akademickiej Sieci Komputerowej. Ten przypadek łączył się ze skalą pozyskiwanych danych przez te aplikacje. W związku z rozwojem Generative AI sądzę, że takich aplikacji będzie coraz więcej, bo to najtańszy sposób uczenia tego typu systemów.

Na co my jako użytkownicy Internetu powinniśmy zwrócić uwagę, korzystając z tego typu aplikacji, które np. używają naszych zdjęć do przeróbki. Są jakieś sygnały, na które powinniśmy być wyczuleni?
Urządzenia mobilne stają się niezbędnym narzędziem do pracy, nauki i często dostarczają nam rozrywki w wolnym czasie. Korzystając z różnorodnych aplikacji, powinniśmy zwracać uwagę na ich zgodność z podstawowymi zasadami wymaganymi przez RODO (oraz w przyszłości dyrektywę AI). Chodzi o informację: kto i dlaczego, w jakim celu przetwarza nasze dane. Udzielenie informacji wymaganych ustawą RoD, jest realizowane najczęściej poprzez udostępnienie odpowiedniego dokumentu w aplikacji - „Polityki prywatności”, a także „Polityki plików cookies”, o ile aplikacja z takich plików korzysta.

Może Pan podać takie żelazne zasady bezpieczeństwa w sieci?

Chrońmy swoje dane osobowe – nie udostępniajmy danych takich jak numer PESEL, login czy hasła do swoich internetowych kont. Po drugie, weryfikujmy strony, które odwiedzamy – czytajmy regulamin strony i politykę prywatności, zanim udostępnimy swoje dane na stronie, klikajmy tylko w linki z bezpiecznych źródeł. Ja wiem, że często nam się spieszy, że kto czyta regulaminy, ale naprawdę to nam może pomóc i uratować przed kłopotami. Rzeczywistość wirtualna jest już zbyt poważna. To nie tylko zabawa. Zadbajmy o swoje hasła – twórzmy dłuższe hasła (min. 14 znaków) z użyciem dużych i małych liter, cyfr oraz znaków specjalnych. Przechowujmy je w bezpieczny sposób i włączmy dwuetapowe uwierzytelnianie. Wszyscy chcemy być bezpieczni w sieci. Zachęcam firmy, żeby uważnie śledziły, do jakich działań wykorzystywane są ich produkty i walczyły z nieuczciwymi podmiotami, które próbują wykorzystywać ich wizerunek do nielegalnych działań.