Handel danymi, także żołnierzy. Obce służby mogą je tanio kupić

Rynek, który obniża koszt rozpoznania

W artykule na łamach Small Wars Journal Robert Green wskazuje na słabość państwa, które chroni swoje tajemnice, a jednocześnie pozwala szeroko udostępniać informacje o własnym społeczeństwie. 

Jego zasadnicza teza brzmi: jeżeli przeciwnik może tanio pozyskać dane przydatne do rozpoznania i oddziaływania, część przygotowań do operacji zostaje wykonana przez rynek komercyjny. Kosztowne włamanie nie zawsze jest konieczne, ponieważ istnieje gotowy kanał dostępu.

Green łączy tę obserwację z wojną poznawczą, którą w swoim eseju ujmuje jako rywalizację o postrzeganie rzeczywistości, osądy i decyzje ludzi. W jego ujęciu duże zbiory danych osobowych umożliwiają dzielenie społeczeństwa na grupy oraz dobieranie do nich przekazów. 

Narzędzia wypracowane przez reklamę mogą służyć również państwu zainteresowanemu wzmacnianiem nieufności i konfliktów. Dane stają się wówczas materiałem do przygotowania operacji, podobnie jak rozpoznanie poprzedzające inne działania wywiadowcze.

Najważniejsza jest tutaj zmiana miejsca, w którym powstaje zagrożenie. Służba może zdobywać informacje bez atakowania chronionego systemu, jeżeli te same lub wystarczająco użyteczne dane znajdują się u pośrednika. 

Bezpieczeństwa instytucji nie da się zatem ocenić wyłącznie na podstawie odporności jej sieci. Trzeba również sprawdzić, co o jej pracownikach, rodzinach i otoczeniu można ustalić poza nią.

Publiczne dane w służbie obcego wywiadu

Punktem wyjścia Greena są materiały dotyczące chińskiego zainteresowania amerykańskimi danymi wyborców. 

Dokument „US Voter Registration for 6 States” opisuje pobranie 14 stycznia 2022 r. przez chiński podmiot danych z co najmniej sześciu amerykańskich stanów za pośrednictwem stron komercyjnych. Zaznacza, że informacje były publicznie dostępne, a ich rzeczywisty cel pozyskania pozostawał nieznany. Wskazuje zarazem możliwość wykorzystania takich zasobów do operacji wpływu. 

Dokument potwierdza więc zdobycie materiału potencjalnie przydatnego operacyjnie, lecz nie dowodzi przeprowadzenia skutecznej kampanii przeciwko wyborcom. 

Widzimy więc, że dostęp do takich zbiorów nie musi oznaczać przełamania zabezpieczeń stanowego systemu. Amerykańskie jurysdykcje udostępniają określone informacje wyborcze na różnych zasadach, z odmiennymi ograniczeniami i opłatami.

Pozyskanie publicznie dostępnych danych wyborców może stwarzać zagrożenie wywiadowcze, nawet jeżeli nie wiąże się z włamaniem do systemów wyborczych. Informacje takie mogą służyć rozpoznawaniu struktury elektoratu, identyfikowaniu grup odbiorców i zestawianiu ich z danymi pochodzącymi z innych źródeł. 

Wartość wywiadowcza zbioru może wzrastać po połączeniu go z innymi informacjami.

Raport Government Accountability Office (GAO) opisuje, jak rozproszone ślady cyfrowe tworzą po zestawieniu profile ujawniające informacje istotne dla bezpieczeństwa personelu, jego rodzin i operacji wojskowych. 

Dokument dotyczy sektora obronnego, ale pokazuje ogólny mechanizm agregacji: pojedyncza informacja może mieć ograniczoną użyteczność, podczas gdy jej powiązanie z innymi pozwala rozpoznać osobę, jej relacje lub aktywność. 

Odniesienie tego mechanizmu do rejestrów wyborców jest wnioskiem analitycznym — sam raport GAO nie dokumentuje wykorzystania omawianej chińskiej bazy. 

Możliwe zastosowania danych osobowych przedstawia również zespół Duke University w raporcie z listopada 2023 r.

Jego autorzy wskazują, że informacje dostępne u brokerów mogą pomagać w profilowaniu wojskowych, weteranów i ich otoczenia, przygotowywaniu szantażu oraz kierowaniu kampanii informacyjnych. 

Badacze wykazali możliwość zakupu takich danych i niedostatki weryfikacji nabywców. Nie dowiedli natomiast, że obce państwo wykorzystało zakupione przez nich zbiory w konkretnej operacji. 

Badanie potwierdza zatem dostępność zasobu i opisuje możliwe zagrożenia, pozostawiając osobną kwestią ich faktyczne urzeczywistnienie. 

Ocena operacji wymaga wobec tego rozdzielenia jej kolejnych etapów: 

• zdobycia danych,
• przygotowania profili,
• opracowania przekazu,
• dotarcia do odbiorców,
• osiągnięcia zakładanej zmiany zachowania. 

Jest to podział analityczny, pozwalający uporządkować dowody. Posiadanie bazy nie przesądza o trafności profili; przygotowanie przekazu nie dowodzi jego dostarczenia; kontakt odbiorcy z treścią nie oznacza jeszcze zmiany poglądów, decyzji wyborczej czy gotowości do działania. Każdy kolejny etap wymaga dodatkowych ustaleń. Bez nich można oceniać możliwości przeciwnika, lecz nie przypisywać mu udowodnionego sukcesu.

Jak wskazuje FactCheck.org w swojej analizie, pozyskanie danych rejestracyjnych nie jest dowodem przejęcia infrastruktury wyborczej ani zmiany oddanych głosów. 

W analizie należy więc osobno badać rozpoznanie społeczeństwa, oddziaływanie na wyborców oraz techniczną ingerencję w przebieg głosowania i liczenie głosów. Dane mogą wspierać pierwsze dwa rodzaje działań, ale samo ich posiadanie nie potwierdza ani skutecznego wpływu, ani manipulacji wynikiem wyborów. 

Kupować to, co dostępne, wykradać to, co chronione

Ekonomiczną stronę tajnego pozyskiwania informacji pokazuje sprawa chińskiej firmy i-Soon. 

Według Departamentu Sprawiedliwości USA, przedsiębiorstwo wykonywało włamania na zamówienieMinisterstwa Bezpieczeństwa Państwowego oraz Ministerstwa Bezpieczeństwa Publicznego Chin. Prowadziło również własne operacje, po których oferowało zdobyte dane państwowym odbiorcom. 

W komunikacie z początku marca 2025 r., przedstawiającym zarzuty prokuratury, amerykańskie władze podały, że i-Soon pobierało około 10–75 tys. dolarów za każdą skutecznie przejętą skrzynkę pocztową.

W tym modelu prywatny wykonawca dostarcza służbom rezultat operacji: dostęp do określonego zasobu i pozyskane informacje. 

Istnienie komercyjnych baz tworzy drugi kanał zaopatrzenia. Jeżeli potrzebne dane można kupić, zlecanie włamania może okazać się zbędne. Służba może łączyć zakupy, źródła otwarte, materiały z wcześniejszych wycieków i własne operacje. O wyborze drogi decydują dostępność informacji, ich jakość, koszt i ryzyko.

Nie da się jednak sprowadzić tej kalkulacji do prostego porównania liczby rekordów. Przejęta skrzynka wybranej osoby może zawierać plany, relacje i dokumenty, których nie dostarczy wielomilionowa baza konsumencka. Tani zbiór może z kolei być nieaktualny lub pełen błędów. 

Przewaga rynku polega na obniżeniu kosztu wstępnego rozpoznania i zwiększeniu liczby dostępnych punktów zaczepienia. Nie oznacza zastąpienia wszystkich innych metod pracy wywiadowczej.

Żołnierz jako rekord handlowy

Empirycznego potwierdzenia dostępności takich informacji dostarczył zespół Duke University. We wspomnianym wcześniej raporcie Justin Sherman i współautorzy opisali zakupy danych dotyczących czynnych wojskowych, weteranów i ich rodzin. Obejmowały one m.in. informacje zdrowotne, finansowe oraz dotyczące praktyk religijnych. Najniższa uzyskana cena wynosiła około 12 centów za rekord.

Badacze kontaktowali się ze sprzedawcami, korzystając zarówno z domeny .org, jak i .asia. Wykazali niespójność procedur weryfikowania klientów również podczas zakupów prowadzonych z wykorzystaniem domeny .asia i strony hostowanej w Singapurze. 

Zespół pozostawał fizycznie w Stanach Zjednoczonych, a jego strona deklarowała związek z Duke University. Badacze sprawdzali, czy zagraniczny charakter infrastruktury kontaktowej skłoni sprzedawców do dokładniejszej kontroli nabywcy. Zespół nie kupował danych lokalizacyjnych, choć odnotował ich dostępność. Badanie wykazało możliwość pozyskania informacji.

Znaczenie kontrwywiadowcze tego ustalenia jest jednak wyraźne. Informacje o zadłużeniu, problemach osobistych, rodzinie czy zainteresowaniach mogą pomagać w wyborze osób do dalszego rozpoznania. Nie stanowią jeszcze oceny podatności na werbunek, lecz pozwalają zawęzić poszukiwania. 

Rynek danych może więc dostarczać wstępne wskazania, które później wymagają sprawdzenia innymi metodami. Przeciwnik otrzymuje możliwość rozpoczęcia pracy od gotowej listy potencjalnie interesujących osób.

Reklama jako kanał zbierania informacji

Szczególne znaczenie ma infrastruktura reklamowa, ponieważ informacje mogą krążyć już podczas ustalania, komu wyświetlić reklamę. 

W systemie RTB, czyli aukcji reklamowych w czasie rzeczywistym, uczestnicy otrzymują dane pozwalające ocenić wartość dotarcia do użytkownika. Sprawa Mobilewalla pokazuje, jak ten mechanizm może zostać wykorzystany do tworzenia zbiorów wykraczających poza samą emisję reklam.

Według skargi Federalnej Komisji Handlu USA (FTC) z grudnia 2024 r., firma zbierała i zachowywała informacje z zapytań aukcyjnych także wtedy, gdy nie wygrywała aukcji. 

FTC podała, że od stycznia 2018 r. do czerwca 2020 r. zgromadziła ponad 500 mln unikalnych identyfikatorów reklamowych powiązanych z precyzyjnymi danymi lokalizacyjnymi. Zarzuty dotyczyły również sprzedaży danych wrażliwych i niedostatecznego sprawdzania zgody użytkowników. 

Podobny problem opisał Joseph Cox w artykule na łamach WIRED, przygotowanym we współpracy z 404 Media i dotyczącym Gravy Analytics. 

Analiza ujawnionych plików wskazywała na pozyskiwanie części danych przez ekosystem reklamowy, potencjalnie bez wiedzy użytkowników i twórców aplikacji. Dziennikarze zaznaczyli, że pochodzenie poszczególnych informacji oraz udział wymienionych aplikacji nie były w każdym przypadku jednoznaczne.

Wniosek dla bezpieczeństwa jest zatem szerszy: osoba może ograniczać publiczne wpisy, a mimo to pozostawiać ślady przez zwykłe korzystanie z telefonu. Ochrona wymaga zatem uwzględnienia całego obiegu danych: od aplikacji i dostawców reklam po agregatorów oraz dalszych odbiorców. Sam zakaz publikowania zdjęć z miejsca służby obejmuje tylko część problemu.

Europejski wymiar zagrożenia

Problem dotyczy również Europy. Raport Irish Council for Civil Liberties (ICCL) opisał dostępność reklamowych segmentów odbiorców związanych z wojskiem, administracją, przemysłem obronnym i bezpieczeństwem. 

W analizowanych ofertach znajdowały się kategorie odnoszące się do personelu oraz decydentów w wielu państwach, w tym w Polsce. 

ICCL wskazała zagrożenie wynikające z łączenia takich oznaczeń z danymi o przemieszczaniu się, sytuacji finansowej i życiu prywatnym. Jednocześnie kategorię marketingową należy traktować jako przypisanie dokonane przez dostawcę danych. Nie potwierdza ona zatrudnienia ani funkcji każdej osoby w danej grupie. Etykieta sugerująca związek z wywiadem nie jest zweryfikowaną listą funkcjonariuszy.

Dla polskich instytucji płynie stąd praktyczny wniosek: ocena ujawnienia personelu powinna obejmować również komercyjny obieg informacji. Dotyczy to wojska, administracji, przemysłu obronnego i infrastruktury krytycznej. 

Obiektem rozpoznania może być także rodzina lub otoczenie pracownika, jeżeli ich aktywność pozwala ustalić jego rytm życia. 

Jest to kierunek analizy zagrożenia, a nie twierdzenie, że wszystkie te środowiska zostały już rozpoznane przez obce służby.

Wpływ na społeczeństwo i nacisk na jednostkę

Green akcentuje możliwość używania danych do personalizowania przekazu. Różnym grupom można przedstawiać odmienne opowieści, dobierając tematy do ich obaw i doświadczeń. 

Celem operacji może być pogłębienie nieufności, osłabienie poparcia dla określonej polityki lub zniechęcenie do działania. W tym sensie informacje o odbiorcach pomagają przygotować oddziaływanie. 

Nie wszystkie operacje wpływu wymagają jednak szczegółowych profili osobowych, a samo profilowanie nie gwarantuje skuteczności.

Green opisuje wykorzystanie danych do dopasowywania przekazów w operacjach wpływu, natomiast wspomniany raport ICCL pokazuje ich przydatność do rozpoznawania konkretnych osób i ich podatności na nacisk. 

Zestawienie tych publikacji pozwala wyróżnić dwa zastosowania tego samego zaplecza informacyjnego: oddziaływanie na grupy odbiorców oraz przygotowanie działań przeciwko wybranej osobie.

Nie każdy zakup danych przez służbę jest więc elementem wojny poznawczej. Informacje mogą służyć kontrwywiadowi, rozpoznaniu gospodarczemu, przygotowaniu kontaktu operacyjnego lub ustalaniu lokalizacji. 

Dopiero cel i sposób użycia pozwalają określić charakter działania. Uznanie całego gromadzenia informacji za wojnę poznawczą zacierałoby różnice między rozpoznaniem, przygotowaniem operacji i samym oddziaływaniem.

Bezpieczna sieć nie oznacza bezpiecznej instytucji

Raport GAO ujmuje ten problem jako zagrożenie dla personelu, rodzin i operacji. Wskazało, że rozproszone ślady cyfrowe mogą po połączeniu tworzyć profile ujawniające informacje istotne dla bezpieczeństwa. Stwierdziło również luki w politykach, szkoleniach i ocenach zagrożeń w badanych strukturach Departamentu Obrony.

Dokument pokazuje trudność organizacyjną: informacje dotyczące jednej instytucji powstają w wielu miejscach, podlegających różnym regułom i właścicielom. Część pochodzi z urządzeń służbowych, część z aktywności prywatnej, a inne z otoczenia operacji. Zagrożenie ujawnia się dopiero po ich zestawieniu. Odpowiedzialność za ochronę musi więc łączyć bezpieczeństwo teleinformatyczne, ochronę personelu, kontrwywiad i bezpieczeństwo operacyjne.

Rodziny oraz podwykonawcy wymagają w takim podejściu uwagi, ponieważ granice instytucji nie pokrywają się z granicami dostępności informacji o niej.

Osobny argument dotyczący danych dzieci przedstawia Green: informacje gromadzone od dzieciństwa mogą zachować wartość, gdy część tych osób podejmie pracę w administracji, wojsku lub służbach. 

To prognoza długoterminowego ryzyka i argument za ograniczaniem zbędnego gromadzenia informacji, a nie ustalenie raportu GAO ani dowód systematycznego profilowania przyszłych urzędników lub wojskowych.

Utrudnić dostęp, ograniczyć użyteczność

Amerykański Data Security Program, obowiązujący od 8 kwietnia 2025 r., jest przykładem traktowania transferu danych jako zagadnienia bezpieczeństwa narodowego. 

Według Departamentu Sprawiedliwości USA, program ustanawia rozwiązania działające jak kontrola eksportu: zakazuje lub ogranicza określone transakcje dające wskazanym państwom i podmiotom dostęp do danych związanych z rządem USA oraz dużych zbiorów wrażliwych danych osobowych. Obejmuje dane m.in.:

• genomowe, 
• biometryczne, 
• zdrowotne, 
• finansowe,
• lokalizacyjne. 

Zakres ochrony zależy od przepisów dotyczących kategorii danych, transakcji i odbiorców.

Green proponuje rozwinięcie tej logiki: kontrolowanie dalszej odsprzedaży, weryfikowanie odbiorców, utrudnianie masowego pobierania rejestrów i wzmacnianie ochrony szczególnie wartościowych repozytoriów. 

Zasadnicza intencja jest trafna — przeciwnik powinien ponosić większy koszt pozyskania informacji. Sama podwyżka ceny nie wystarczy wobec służby dysponującej dużym budżetem. 

Równie ważne są ograniczenie zakresu zbieranych danych, czasu ich przechowywania oraz możliwości identyfikowania konkretnych osób.

Obrona powinna też chronić dostęp służący kontroli społecznej. Dziennikarz, badacz i obywatel potrzebują możliwości sprawdzania działania instytucji. Można natomiast analizować, czy masowy eksport danych pozwalających profilować ludzi wymaga innych zabezpieczeń niż odczyt pojedynczej informacji. 

Różnicowanie dostępu powinno wynikać z charakteru zbioru i rzeczywistego zagrożenia, przy zachowaniu przejrzystości reguł.

Ostatecznie problem polega na rozbieżności między ceną rynkową informacji a jej możliwym znaczeniem dla bezpieczeństwa. 

Rekord wart dla sprzedawcy kilka centów może, po połączeniu z innymi danymi, pomóc rozpoznać człowieka mającego dostęp do ważnych zasobów. 

Państwo, które chce ograniczać wrogie operacje, musi zatem przyglądać się także temu, co jego własny rynek pozwala ustalić o obywatelach. 

Obrona przed wpływem zaczyna się wcześniej niż w chwili publikacji wrogiego przekazu — również tam, gdzie powstają i krążą dane o jego przyszłych odbiorcach.