Rosyjski ślad w oszukańczych reklamach. W Sejmie ujawniono niepokojące ustalenia

Jednym z głównych tematów posiedzenia zespołu kierowanego przez posłankę Annę Sobolak był projekt zmian prawnych przygotowany w ramach inicjatywy „150% Stop Scam” Rafała Brzoski. Zakłada on między innymi przeniesienie części odpowiedzialności za oszukańcze reklamy na platformy, które zarabiają na ich publikacji.

Trzy elementy projektu

Propozycja przewiduje objęcie największych platform internetowych, określanych w prawie unijnym jako VLOP (Very Large Online Platform), obowiązkami wynikającymi z ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu.

Tym rozwiązaniem było by to, żeby dwadzieścia kilka portali unijnych (...) wpisać na listę instytucji obowiązanych w reżimie ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, a tym samym nałożyć na nich obowiązek weryfikacji reklamodawców.
Maciej Ślusarek, Kancelaria SKP Ślusarek

Według autorów projektu mechanizm ten utrudniłby działalność oszustów wykorzystujących fikcyjne konta, fałszywe dane i zagraniczne podmioty do publikowania reklam.

Za niedopełnienie obowiązków weryfikacyjnych platformom groziłyby administracyjne kary finansowe nakładane przez Generalnego Inspektora Informacji Finansowej. Choć pierwotnie zakładano sankcje odpowiadające 150 proc. przychodów z reklam, przedstawiona propozycja przewiduje możliwość podniesienia ich do 200 proc. Rozwiązanie wymaga jeszcze analizy zgodności z konstytucją oraz prawem unijnym.

Ten proceder istnieje dlatego, że on jest z punktu widzenia rachunku ekonomicznego jak najbardziej opłacalny dla operatora tego portalu. Uczynić go już dalej nieopłacalnym - to proponujemy.
Maciej Ślusarek, Kancelaria SKP Ślusarek

Trzecim elementem projektu jest utworzenie mechanizmu kompensacyjnego. Pieniądze pochodzące z kar miałyby finansować edukację oraz rekompensaty dla osób, które mimo zachowania należytej ostrożności straciły środki w wyniku internetowego oszustwa. Wymagałoby to także zmian w przepisach dotyczących Rzecznika Finansowego.

Autorzy inicjatywy podkreślali, że nie chodzi o ograniczanie legalnej reklamy, ale o uniemożliwienie publikacji oszukańczych materiałów już na etapie przyjmowania zlecenia. Nowe obowiązki dotyczyłyby największych platform, a nie wszystkich wydawców internetowych.

Propozycje zmian opracowano na podstawie analizy reklam przeprowadzonej właśnie przez ekspertów inicjatywy Rafała Brzoski. 

Zgromadzona przez nich baza obejmowała ponad 8 mln materiałów, z których przeszło 7 mln poddano pogłębionej analizie. Blisko milion reklam uznano za podejrzane, a około 26 tys. za materiały wysokiego ryzyka – będące prawdopodobnie oszustwem.

Ponad 8 mln reklam w bazie

Sebastian Kondracki, reprezentujący projekt Bielik.AI i zarazem zapewniający technologiczne wsparcie inicjatywie, poinformował, że najbardziej niebezpieczne kampanie niekoniecznie pochodzą od niezależnych, rozproszonych grup przestępczych.

Według ustaleń jego zespołu część z nich wykorzystuje wspólne, zaawansowane oprogramowanie dzięki któremu mogą automatycznie tworzyć fałszywe strony, zarządzać kampaniami i obchodzić zabezpieczenia platform reklamowych.

Jedną z wykorzystywanych technik jest maskowanie treści. System przedstawia platformie neutralną reklamę, na przykład urządzenia gospodarstwa domowego, podczas gdy odbiorca widzi fałszywą informację o zamachu terrorystycznym, kryzysie politycznym lub atrakcyjnej inwestycji.

Proszę Państwa, student pierwszego roku, już nawet nie bezpieczeństwa tylko po prostu informatyk, wykryłby z coś takiego. Więc pytanie, jak tak duża platforma wydająca takie ogromne pieniądze na bezpieczeństwo potrafi dopuścić takie maskowanie i nie sprawdzić tak ważnych dla bezpieczeństwa Polaków elementów.
Sebastian Kondracki, założyciel Fundacji SpeakLeash i Bielik.AI

Mechanizm ten może też zniekształcać zawartość bibliotek reklam prowadzonych na podstawie unijnego aktu o usługach cyfrowych (DSA). W repozytorium zapisywany jest bowiem materiał różniący się od tego, który faktycznie trafia do użytkownika.

Oprogramowanie ponadto umożliwia jednoczesne uruchamianie kampanii z setek, a nawet tysięcy kont.

Rosyjski ślad w kampaniach

Jednym z najpoważniejszych ustaleń 150% Stop Scam były rosyjskie powiązania producenta oprogramowania wykorzystywanego w części analizowanych kampanii. Oprogramowania, które można wynająć za ok. tysiąc dolarów miesięcznie. 

Jak relacjonował Kondracki, firma formalnie zarejestrowana jest w Zjednoczonych Emiratach Arabskich – jej działalność operacyjna ma być związana z Sankt Petersburgiem. 

Okazuje się, że rzeczywiście zarejestrowana jest spółka w Dubaju, ale wszyscy pracownicy są z Sankt-Petersburga. Rekrutacje do tej firmy są cały czas prowadzone na rekrutacyjnych rosyjskich portalach. Co jest też ciekawe, zarobki w tej firmie są w stablecoinach, czyli w kryptowalutach.
Sebastian Kondracki, założyciel Fundacji SpeakLeash i Bielik.AI

Eksperci zaobserwowali też, że informacje o aktywności użytkowników trafiają do systemów analitycznych, między innymi usług Yandex. Ponadto dane z wypełnionych formularzy równocześnie zasilają mechanizmy optymalizacji reklam Mety, co pozwala jej skuteczniej docierać do kolejnych potencjalnych ofiar.

Mimo, że przedstawione ustalenia nie dowodzą udziału rosyjskich władz w organizowaniu kampanii, Kondracki postawił pytanie, czy podobna infrastruktura mogłaby być wykorzystywana do testowania narzędzi działań hybrydowych. W końcu, w analizowanych reklamach pojawiały się spreparowane wiadomości o zamachach, rzekomym wyjściu Polski z Unii Europejskiej i decyzjach najważniejszych instytucji państwowych.

Polska buduje europejską koalicję przeciw oszustwom

Sekretarz stanu w Ministerstwie Cyfryzacji Dariusz Standerski z kolei przedstawił działania rządu – między innymi te prowadzone na poziomie Unii Europejskiej.

Przypomniał, że Polska wystąpiła do Komisji Europejskiej z wnioskiem o nałożenie na Meta Platforms kary w wysokości 250 mln euro (ok. 1,1mld PLN). Równolegle ministerstwo zaprosiło państwa członkowskie do wspólnej inicjatywy przeciwko oszustwom internetowym. Odpowiedzi wyrażające poparcie miały napłynąć już z dziewięciu państw: Cypru, Danii, Finlandii, Szwecji, Czech, Niderlandów, Włoch, Portugalii i Niemiec.

Termin zebrania odpowiedzi wyznaczono na 1 grudnia – wtedy w Brukseli odbędzie się posiedzenie Rady Unii Europejskiej. 

Kontynuujemy dialog z innymi państwami Unii Europejskiej tak, żeby zbudować jak najszerszy front nacisku na Komisję Europejską w zakresie przyspieszenia działań na poziomie Unii Europejskiej.
Dariusz Standerski, Sekretarz stanu w Ministerstwie Cyfryzacji

Ministerstwo analizuje ponadto propozycje inicjatywy „150% Stop Scam” – wiceminister zadeklarował zamiar włączenia ich do kalendarza prac legislacyjnych.

Deepfake w prawie karnym

Osobnym tematem posiedzenia Zespołu była odpowiedzialność za wykorzystywanie sztucznej inteligencji do podszywania się pod inne osoby i tworzenia fałszywych nagrań. Standerski poinformował, że Komisja Dzieci i Młodzieży pracuje nad projektem penalizacji deepfake’ów tworzonych w celach przestępczych.

Przedstawiciele inicjatywy Brzoski postulowali jednocześnie zmiany w prawie karnym i procedurach prowadzenia postępowań. Zwracali uwagę, że sprawy dotyczące przestępstw cyfrowych bywają umarzane, a tradycyjne metody zabezpieczania dowodów nie zawsze odpowiadają mechanizmom internetowych oszustw.

Mecenas Maciej Ślusarek przywołał sprawy bezprawnego wykorzystywania wizerunku Rafała Brzoski w reklamach. Przypomniał decyzję Prezesa UODO z 2024 roku nakazującą wstrzymanie takich publikacji. Wskazał też na orzeczenie polskiego sądu z marca, które – według przedstawionej przez niego interpretacji – potwierdza możliwość odpowiedzialności dużych platform za określone treści reklamowe bez automatycznego zastosowania wyłączenia odpowiedzialności wynikającego z art. 6 DSA. Podobne rozstrzygnięcie miało bowiem zapaść w czerwcu przed sądem niemieckim.

Zdaniem prawnika dotychczasowe środki prawne nie zapewniły skutecznego zakończenia naruszeń. Dlatego konieczne jest uzupełnienie możliwości reagowania po publikacji o obowiązki zapobiegające dopuszczaniu nieuczciwych reklam.

W drugim kroku postulujemy wprowadzenie odpowiednich rozwiązań w prawie karnym (...) tak, żeby przestępstwa związane z wykorzystaniem tak zwanych deepfake'ów były ścigane, a z drugiej strony przyjrzenie się tej kwestii w sferze prawa proceduralnego, procesowego, bo (...) doświadczenia praktyczne podpowiadają, że najczęściej tego typu postępowania są umarzane.
Maciej Ślusarek, Kancelaria SKP Ślusarek

Bank zwraca pieniądze, ale za oszustwo mogłaby zapłacić platforma

Michał Ziemiak, Rzecznik Finansowy, zwrócił uwagę na nierównomierne rozłożenie kosztów internetowych oszustw. Proceder rozpoczyna się od reklamy w mediach społecznościowych, prowadząc do wyłudzenia danych lub przejęcia dostępu do rachunku – jednak końcowy spór o utracone środki rozgrywa się pomiędzy klientem a bankiem.

Rzecznik zaproponował więc rozważenie prawa regresu wobec innych uczestników. Instytucja finansowa, która zwróci klientowi pieniądze z nieautoryzowanej transakcji, mogłaby następnie dochodzić ich odzyskania od platformy lub operatora telekomunikacyjnego, jeżeli podmiot ten naruszył określone obowiązki bezpieczeństwa.

Ziemiak przywołał rozwiązania oparte na współdzieleniu odpowiedzialności między uczestnikami rynku – funkcjonujące już w Singapurze i Australii. W jego ocenie poszkodowany powinien mieć jedno miejsce dochodzenia roszczeń, na przykład bank, a późniejsze rozliczenia odbywałyby się pomiędzy instytucjami.

Zastrzeżenia wobec takiej koncepcji przedstawił Piotr Mieczkowski z Krajowej Izby Gospodarczej Elektroniki i Telekomunikacji. Argumentował, że operatorzy telekomunikacyjni transmitują dane i nie decydują o treści reklam, dlatego nie powinni być traktowani tak samo jak platformy zarządzające ich publikacją.

To trochę tak, jakby karać Emitel, który emituje sygnał telewizyjny w imieniu Telewizji Polskiej czy czy TVN, że on ponosi odpowiedzialność za fałszywą reklamę czy jakąś nieprawdę, która pojawiła się w telewizji.
Piotr Mieczkowski. KIGEiT

Wspólny standard wykrywania fałszywych reklam

Niezależnie od zmian ustawowych sektor finansowy przygotowuje własny mechanizm przeciwdziałania tego typu reklamom. 

Paweł Widawski z Fundacji Future Finance Poland poinformował, że od kilkunastu tygodni banki, podmioty płatnicze oraz przedstawiciele infrastruktury finansowej pracują nad sektorowym standardem postępowania, który ujednolici:

• sposoby identyfikowania fałszywych reklam
• sposoby zabezpieczania dowodów
• przekazywanie zgłoszeń platformom zgodnie z procedurami DSA.

Prace obejmują też weryfikację uczestników rynku reklamowego (agencji, domów mediowych, influencerów) i podmiotów pozyskujących dane potencjalnych klientów. W przygotowaniach jest też klasyfikacja rodzajów oszukańczych reklam finansowych.

Nielegalne wycieczki i hazard

Przedstawiciele branży turystycznej wskazali, że problem nie ogranicza się do fałszywych inwestycji. Na platformach społecznościowych reklamowane są też wyjazdy organizowane przez podmioty niespełniające ustawowych wymogów.

Łukasz Nikosz, prezes Europejskiego Stowarzyszenia Przedsiębiorców Turystycznych przekazał, że w ubiegłym roku organizacja skierowała około 300 zawiadomień o naruszeniach – w bieżącym już 370.

Zwróciliśmy się do Prokuratury Krajowej w ubiegłym roku, żeby przeanalizowała te zgłoszenia (...) i na czterdzieści przeanalizowanych spraw prokuratura w dwudziestu jeden dopatrzyła się nieprawidłowości, skierowała te sprawy do ponownego rozpatrzenia.
Łukasz Nikosz, Prezes ESPT

Zwrócił przy tym uwagę, że przewidziana w przepisach możliwość nakładania administracyjnej kary do 50 tys. zł – według danych organizacji – nie została wykorzystana ani razu przez osiem lat obowiązywania ustawy.

Ekspert zwrócił też uwagę na sposoby promowania wycieczek bez spełnienia ustawowych wymogów. Podmioty prowadzące działalność turystyczną, zamiast publikować pełne oferty, zamieszczają krótkie nagrania, a szczegóły wyjazdu przekazywane są w prywatnej wiadomości, co utrudnia identyfikację organizatora, a tym samym gromadzenie dowodów nielegalnej działalności.

Piotr Mieczkowski wskazał na podobny problem nielegalnego reklamowania usług bukmacherskich przez podmioty działające bez zezwoleń. Zaznaczył, że fałszywe i nielegalne reklamy pojawiają się też w grach i serwisach dla dorosłych, a nie tylko w największych mediach społecznościowych.

Jego zdaniem przyszłe regulacje powinny rozróżniać oszustwa finansowe i nielegalną działalność reklamową w branżach regulowanych oraz dezinformację, której celem nie musi być bezpośrednie wyłudzenie pieniędzy.

Co dalej z propozycjami?

Przewodnicząca Anna Sobolak zapowiedziała dalsze prace zespołu nad rozwiązaniami dotyczącymi oszukańczych reklam, internetowych wyłudzeń i bezprawnego wykorzystywania deepfake’ów. Najważniejsze propozycje wymagają jeszcze opracowania legislacyjnego.

Ostateczny kierunek zmian będzie więc zależał od tego, czy uda się stworzyć przepisy pozwalające zatrzymać oszukańczą reklamę przed jej publikacją, zamiast ograniczać działania państwa do usuwania treści i ścigania sprawców dopiero po utracie pieniędzy przez użytkowników.