INTERVJU Mihailović: Prevaranti ciljaju povjerenje građana

Savremene internet prevare sve manje počivaju na tehničkoj nesofisticiranosti žrtve, a sve više na profesionalizovanoj manipulaciji korisnikom. Lažni portali, zloupotreba identiteta poznatih medija i institucija, sponzorisani oglasi i sadržaj generisan vještačkom inteligencijom mijenjaju način na koji građani treba da razmišljaju o digitalnoj bezbjednosti.

Šta to otežava korisnicima da razlikuju stvarni od sadržaja koji je kreiran s ciljem da manipuliše, kako to komplikuje vještačka inteligencija, na kome je odgovornost, regulativa… o tome za “Vijesti” govori Andreja Mihailović, menadžerka Inovacionog haba za sajber bezbjednost Univerziteta Crne Gore (UCG).

Prevare su sve uvjerljivije. Šta danas građaninu najviše otežava da prepozna da je nešto lažno?

Savremena digitalna prevara sve manje počiva na tehničkoj nesofisticiranosti žrtve, a sve više na profesionalizovanoj manipulaciji korisnikom. Današnje kampanje koriste vizuelno gotovo identične kopije legitimnih medija i institucija, internet adrese koje se minimalno razlikuju od originalnih, ukradene logotipe i identitete, kompromitovane naloge, sponzorisane oglase, lažne komentare i recenzije, lažne profile stručnjaka, banaka ili javnih funkcionera, a sve češće i sintetički generisan audio-vizuelni sadržaj.

Generativna vještačka inteligencija dodatno mijenja način na koji se prevare pripremaju i sprovode. Prevarantu je danas znatno lakše da proizvede gramatički besprekoran tekst, personalizovanu poruku, uvjerljiv vizuelni identitet, imitaciju glasa ili uvjerljivo izmijenjen video-snimak. Time se smanjuje broj indikatora na koje su se korisnici tradicionalno oslanjali pri prepoznavanju prevare.

Nedavno smo imali primjer zloupotrebe identiteta “Vijesti” i imena premijera Milojka Spajića za lažnu investicionu ponudu. Zašto su takve prevare toliko uvjerljive?

Primjer koji navodite, gdje se koristi identitet “Vijesti” i ime premijera Milojka Spajića kako bi se građani naveli na ulaganje, predstavlja kombinaciju nekoliko veoma efikasnih tehnika: lažno predstavljanje, zloupotrebu reputacionog autoriteta medija, psihološku sklonost da se više vjeruje autoritetima i finansijski podsticaj zasnovan na očekivanju dobiti.

Posebno je problematično kada prevara prolazi kroz legitimnu digitalnu infrastrukturu: društvenu mrežu, oglasni sistem, pretraživač ili komunikacionu aplikaciju, jer prisustvo na poznatoj platformi kod prosječnog korisnika proizvodi dodatni privid kredibiliteta.

Upravo zbog toga više nije dovoljno korisnicima govoriti da “ne klikću na sumnjive linkove”. Problem je što link, oglas ili portal često više ne izgledaju sumnjivo, a ključna kompetencija savremenog korisnika nije intuitivno prepoznavanje prevare, već provjera autentičnosti nezavisnim kanalom.

Kako građane treba učiti digitalnoj bezbjednosti?

Najefikasniji pristup digitalnoj bezbjednosti nije zasnovan na prenošenju definicija, već na razvoju sposobnosti prepoznavanja rizika i donošenja pravilne odluke u konkretnoj situaciji.

Građaninu je korisnije pokazati razliku između autentične i lažne poruke banke, simulirati pokušaj preuzimanja jednokratnog sigurnosnog koda ili demonstrirati kako se provjerava internet adresa, identitet pošiljaoca, registracija kompanije ili izvor medijskog sadržaja nego ga upoznavati sa terminologijom bez praktičnog konteksta.

Takva edukacija treba da bude zasnovana na scenarijima koji oponašaju stvarne obrasce prevara: lažne bankarske poruke, investicione ponude, oglase za posao, kompromitovane naloge, lažne internet prodavnice, zahtjeve za hitnu uplatu ili poruke kojima se zloupotrebljava identitet javnih institucija.

Cilj nije da korisnik zapamti naziv određene vrste napada, već da razvije naviku provjere prije nego što klikne, dostavi podatke, potvrdi transakciju ili izvrši uplatu.

Koliko su internet prevare danas zapravo povezane sa finansijskom pismenošću i psihološkom manipulacijom?

Posebno je važna finansijska komponenta digitalne bezbjednosti. Značajan dio savremenih internet prevara nalazi se na presjeku sajber bezbjednosti, finansijske pismenosti i psihološke manipulacije.

Napadaču često nije potrebno da kompromituje informacioni sistem ako može uvjeriti korisnika da sam otkrije pristupne podatke, odobri autentifikacioni zahtjev, instalira aplikaciju, prenese sredstva ili vjeruje lažnoj investicionoj ponudi. U tom slučaju tehnička zaštita ostaje formalno netaknuta, ali je bezbjednosni cilj ipak ostvaren.

Zbog toga se kod socijalnog inženjeringa napad često usmjerava prvenstveno na proces odlučivanja korisnika. Iskorišćavaju se autoritet, hitnost, strah od finansijskog gubitka, obećanje zarade, društvena potvrda ili osjećaj povjerenja.

Edukacija koja zanemaruje ove mehanizme ostavlja korisnika pripremljenim da prepozna termin, ali ne nužno i manipulaciju u trenutku kada se ona događa.

Da li odgovornost za zaštitu građana može biti samo na pojedincu?

Sajber bezbjednost se ne može zasnivati na modelu u kojem je posljednja linija odbrane uvijek pojedinac, a nakon incidenta se zaključuje da je “korisnik kliknuo pogrešan link”, jer takav pristup zanemaruje činjenicu da korisnik djeluje unutar šireg digitalnog ekosistema u kojem postoje platforme, oglasni sistemi, banke, telekom operatori, mediji, pružaoci digitalnih usluga i državni organi.

Kakva bi trebalo da bude uloga različitih aktera, od škola i medija do banaka i telekom operatora?

Škole bi trebalo da razvijaju praktične kompetencije provjere izvora, zaštite digitalnog identiteta, prepoznavanja fišinga, manipulativnih tehnika, investicionih prevara i sintetičkog sadržaja. Zato poseban akcenat treba staviti na kritičko donošenje odluka u digitalnom okruženju.

Mediji imaju posebno važnu ulogu kada se njihov identitet zloupotrebljava. Ako se pojavi lažni portal ili oglas koji koristi naziv i grafički identitet određenog medija, brzo i vidljivo upozorenje javnosti može neposredno spriječiti finansijsku štetu. Zaštita integriteta medijskog brenda u takvim situacijama postaje i pitanje sajber bezbjednosti građana.

Banke i drugi pružaoci platnih usluga raspolažu podacima i tehničkim mehanizmima koji mogu omogućiti prepoznavanje određenih anomalija u transakcijama. Preventivna upozorenja, dodatna provjera neuobičajenih plaćanja i brzi kanali za prijavu prevare mogu biti presudni u trenutku kada manipulacija korisnikom prelazi u konkretnu finansijsku štetu.

Telekom operatori imaju značajnu ulogu u borbi protiv lažnog prikazivanja broja ili identiteta pošiljaoca, SMS fišinga i drugih oblika zloupotrebe komunikacione infrastrukture.

Kakva je uloga velikih onlajn platformi?

Onlajn platforme više ne mogu svoju ulogu svoditi na neutralno tehničko posredovanje kada njihovi oglasni ili preporučivački sistemi omogućavaju distribuciju prevarnog sadržaja velikom broju korisnika.

Evropski Akt o digitalnim uslugama upravo zato uvodi razvijeniji model dužnosti velikih onlajn platformi, uključujući procjenu sistemskih rizika povezanih sa zloupotrebom njihovih servisa, obmanjujućim sadržajem i funkcionisanjem reklamnih i preporučivačkih sistema.

To je važna regulatorna promjena: težište se pomjera sa isključive odgovornosti pojedinca ka podjeli odgovornosti kroz čitav lanac digitalnog posredovanja.

Da li vještačka inteligencija dodatno povećava rizik?

Da, i to na dva nivoa. Prvo, vještačka inteligencija omogućava izrazito efikasnu personalizaciju prevare. Na osnovu javno dostupnih podataka moguće je prilagoditi sadržaj jeziku, profesiji, interesovanjima ili finansijskom položaju potencijalne žrtve. Time manipulacija korisnikom postaje uvjerljivija.

Drugo, sintetički sadržaj smanjuje dokaznu vrijednost onoga što korisnik vidi ili čuje. Fotografija, audio zapis ili video više ne mogu sami po sebi imati onu intuitivnu vjerodostojnost koju su ranije imali.

Može li regulativa odgovoriti na taj problem?

Evropski Akt o vještačkoj inteligenciji upravo zato uvodi posebne obaveze transparentnosti. Član 50 predviđa, između ostalog, obaveze označavanja određenog sadržaja generisanog vještačkom inteligencijom u mašinski čitljivom formatu i obavezu objelodanjivanja kada je slika, audio ili video sadržaj koji predstavlja uvjerljivu vještačku imitaciju stvarnosti generisan ili manipulisan.

Međutim, postoji fundamentalno ograničenje regulatornog odgovora: legitimni pružalac sistema vještačke inteligencije može biti obavezan da poštuje pravila transparentnosti, dok lice koje namjerno koristi vještačku inteligenciju radi izvršenja prevare neće dobrovoljno označiti sadržaj kao lažan.

Zato tehničke oznake i regulatorna pravila moraju biti praćeni mehanizmima detekcije, odgovornošću platformi, brzim uklanjanjem prevarnog sadržaja, efikasnim prijavljivanjem i sposobnošću korisnika da izvrši nezavisnu provjeru.

Šta je minimum koji svaki građanin treba da usvoji?

Cilj nije da svaki građanin postane stručnjak za sajber bezbjednost, već da razvije minimalni skup provjerljivih postupaka: zastani, provjeri izvor, potvrdi identitet drugim kanalom, procijeni finansijsku logiku ponude, ne dijeli autentifikacione podatke i ne odobravaj radnju koju nijesi sam inicirao. Upravo se na tom nivou gradi stvarna digitalna otpornost građana.

Pravna dimenzija prevara

Šta je pravna dimenzija prevare, da li je i zašto važno izbjeći automatsko poistovjećivanje svake prevare sa računarskim kriminalom?

Pravno je veoma važno izbjeći automatsko poistovjećivanje svake prevare izvršene preko interneta sa računarskim kriminalom u užem smislu. Internet može biti samo sredstvo izvršenja klasične prevare. Ako je učinilac lažnim predstavljanjem ili prikrivanjem činjenica doveo osobu u zabludu i naveo je da dobrovoljno izvrši uplatu, pravna analiza se prvenstveno može kretati u okvirima krivičnog djela prevare.

Drugačija situacija postoji kada se protivpravna imovinska korist ostvaruje unošenjem, mijenjanjem, brisanjem ili drugim uticajem na računarske podatke ili funkcionisanje računarskog sistema. Tada se može otvoriti pitanje računarske prevare kao posebnog oblika sajber kriminala. Ta distinkcija je važna jer činjenica da je WhatsApp, Telegram, internet stranica ili društvena mreža korišćena kao kanal komunikacije sama po sebi ne transformiše klasičnu prevaru u računarsku prevaru.

Kod složenijih šema mogu se otvoriti i druga pitanja krivičnopravne odgovornosti, zavisno od organizacije sistema, uloge pojedinih lica, toka novca, načina pribavljanja i korišćenja podataka i eventualnog postojanja organizovanog djelovanja, a konačna kvalifikacija zavisi od utvrđenih činjenica i pripada državnom tužilaštvu i sudu. Postoji i druga regulatorna dimenzija. Ako iza ponude stoji trgovac ili lice koje se predstavlja kao pružalac usluge, mogu postati relevantna pravila zaštite potrošača, posebno zabrane obmanjujuće i agresivne poslovne prakse. Isto tako, ako se u okviru prevare neovlašćeno pribavljaju, koriste ili dalje obrađuju podaci o ličnosti, otvara se i zasebno pitanje zaštite podataka.