Nga Denis Jukni
Ka një marrëveshje të çuditshme që shumë prej nesh duket se e kemi bërë me internetin: ne i japim atij pothuajse gjithçka dhe presim që, në këmbim, asgjë e keqe të mos na ndodhë. Publikojmë emrin, datëlindjen, vendin e punës, fotografitë e familjes, makinën, pushimet, restorantin ku darkojmë, aeroportin nga ku po nisemi dhe hotelin ku kemi mbërritur. Publikojmë pamjen nga shtëpia, aktivitetet e përditshme, miqtë, kolegët, opinionet dhe, në shumë raste, edhe problemet personale. Ndërkohë telefoni që mbajmë në xhep përmban email-et, dokumentet, fotografitë, kontaktet, rrjetet sociale, shërbimet cloud dhe aplikacionet financiare. Pastaj, kur diskutohet për sigurinë digjitale, dëgjon pyetjen klasike:
“Po mua kush do të më sulmojë?”
Ndoshta askush. Problemi është se në internet nuk duhet domosdoshmërisht të jesh i rëndësishëm për t’u bërë objektiv. Ideja se një sulmues zgjedh posaçërisht një viktimë, ulet përpara disa monitorëve dhe kalon net të tëra duke thyer sistemet e saj i përket më shumë kinemasë sesa realitetit të përditshëm të sigurisë kibernetike. Një pjesë e madhe e kërcënimeve funksionon në mënyrë të automatizuar: skanohen pajisje dhe shërbime të ekspozuara, testohen adresa email-i, provohen kredenciale të dala nga rrjedhje të mëparshme të të dhënave dhe shpërndahen në masë mesazhe phishing. Sulmuesi mund të mos dijë as që ekzistoni deri në momentin kur një sistem automatik ju gjen.
Interneti, në këtë kuptim, i ngjan një pylli të madh ku të gjithë lëmë gjurmë. Një gjurmë e vetme mund të mos ketë pothuajse asnjë vlerë. Problemi fillon kur dhjetëra apo qindra gjurmë bashkohen. Një fotografi nga zyra, një profil në LinkedIn, një story nga aeroporti, një video nga shtëpia, një postim për ditëlindjen e fëmijës, një targë makine që duket në sfond apo një itinerar sportiv i publikuar rregullisht mund të krijojnë së bashku një profil shumë më të detajuar nga sa ka menduar personi që i ka publikuar.
Nga LinkedIn mund të mësohet ku punoni dhe me kë punoni. Facebook mund të ndihmojë në identifikimin e familjarëve. Instagram mund të tregojë vendet që frekuentoni ose faktin se aktualisht ndodheni jashtë shtëpisë. Një fotografi mund të zbulojë badge-in e kompanisë, një dokument mbi tavolinë apo elemente që identifikojnë vendndodhjen. Një profil sportiv mund të tregojë itinerarin që ndiqni rregullisht. Asnjë prej këtyre informacioneve nuk kërkon domosdoshmërisht thyerjen e një serveri. Në shumë raste, ne i kemi publikuar vetë.
Kjo është edhe fuqia e OSINT-it, Open Source Intelligence: mbledhja, verifikimi dhe lidhja e informacionit nga burime të hapura. Është një instrument jashtëzakonisht i vlefshëm për gazetarinë investigative, kërkimin dhe hetimin, por teknika nuk pyet për qëllimin e personit që e përdor. Të njëjtat gjurmë mund t’i analizojë një gazetar, një studiues, një mashtrues, një stalker, një shantazhues apo një grup kriminal. Prandaj pyetja nuk duhet të jetë vetëm “çfarë problemi ka kjo fotografi?”, por edhe “çfarë mund të kuptojë dikush duke e kombinuar këtë fotografi me gjithçka tjetër që ekziston publikisht për mua?”.
Në këtë pikë zakonisht shfaqet argumenti i famshëm: “Nuk kam asgjë për të fshehur”. Është një argument interesant, sepse shumica e njerëzve nuk kryejnë ndonjë aktivitet kriminal kur mbyllin derën e shtëpisë, por megjithatë e kyçin. Nuk po fshehin ndonjë komplot kur vendosin perde në dritare dhe nuk kanë nevojë të jenë kriminelë që të mos dëshirojnë që një i panjohur të lexojë bisedat me familjen, kolegët, mjekun apo avokatin. Privatësia nuk është sinonim i fshehjes. Privatësia është kontrolli mbi informacionin personal: kush e merr, pse e merr, sa kohë e ruan, me kë e ndan dhe çfarë mund të bëjë me të.
Në botën fizike këtë e kuptojmë instinktivisht. Në botën digjitale kemi zhvilluar një tolerancë të çuditshme. Një aplikacion kërkon kontaktet, vendndodhjen, mikrofonin, kamerën dhe fotografitë dhe ne shtypim “Allow” me shpejtësinë me të cilën mbyllim një reklamë. Shpesh nuk dimë pse aplikacioni ka nevojë për këto të dhëna, sa kohë do t’i mbajë apo çfarë do të ndodhë me to. E rëndësishme është që aplikacioni të hapet. Cybersecurity? Jo, faleminderit.
Nuk është e nevojshme t’ju hakojnë
Një nga keqkuptimet e tjera është se për të humbur një llogari duhet domosdoshmërisht të thyhet teknikisht një sistem. Në shumë raste është shumë më e lehtë të bindet vetë përdoruesi që t’i japë sulmuesit atë që kërkon. Një telefonatë nga “banka”, një mesazh nga “posta”, një email nga “administratori”, një pagesë urgjente e kërkuar nga “drejtori” apo një faqe identike me portalin ku zakonisht identifikoheni mund të jenë të mjaftueshme.
Imagjinoni një telefonatë ku personi në anën tjetër di emrin tuaj, bankën që përdorni dhe disa informacione të tjera që e bëjnë bisedën bindëse. Ju njofton për një transaksion të dyshimtë dhe krijon menjëherë ndjesinë e urgjencës. Gjatë telefonatës ju mbërrin një kod verifikimi dhe “punonjësi i bankës” kërkon t’ia lexoni për të bllokuar transaksionin. Nëse e bëni, sistemi teknik mund të ketë funksionuar në mënyrë perfekte: kodi ka mbërritur te personi i duhur. Problemi është se personi i duhur ia ka dhënë personit të gabuar.
Ky është social engineering, shfrytëzimi i besimit, frikës, autoritetit, kuriozitetit dhe sidomos urgjencës. Prandaj mesazhi thotë se llogaria do të mbyllet menjëherë, paketa duhet konfirmuar sot ose pagesa duhet bërë tani. Sa më pak kohë të ketë viktima për të menduar, aq më mirë. Dobësia më e vlefshme e sistemit, në këtë rast, nuk ka numër versioni. Ka emër dhe mbiemër.
Inteligjenca artificiale nuk e shpiku problemin. E përshpejtoi.
AI nuk shpiku phishing-un, mashtrimin, vjedhjen e identitetit, shantazhin apo manipulimin. Ajo që po ndryshon është shkalla, shpejtësia dhe kostoja e prodhimit të tyre. Një mashtrim që dikur kërkonte kohë, njohuri gjuhësore dhe punë manuale mund të personalizohet dhe prodhohet shumë më shpejt. Një email phishing nuk ka pse të jetë më një tekst absurd i përkthyer keq. Mund të shkruhet në shqip të pastër, të përshtatet me profesionin e objektivit dhe të imitojë një komunikim institucional apo profesional.
Por teksti është vetëm një pjesë e problemit. Për vite me radhë kemi furnizuar internetin me një dataset jashtëzakonisht personal: fytyrën dhe zërin tonë. Reels, TikTok, YouTube, podcast-e, intervista, livestream-e dhe video familjare ofrojnë material të bollshëm. Teknologjitë gjenerative po e bëjnë gjithnjë e më të lehtë sintetizimin ose manipulimin e zërit, fotografive dhe videove. Kjo prek një nga mekanizmat më të vjetër të besimit njerëzor: bindjen se diçka është e vërtetë sepse “e dëgjova vetë” ose “e pashë me sytë e mi”.
Një telefonatë mund të tingëllojë si një familjar. Një mesazh zanor mund të duket sikur vjen nga drejtuesi i një kompanie. Një fotografi mund të përdorë fytyrën reale të një personi në një skenë të fabrikuar. AI nuk e krijoi pakujdesinë tonë me të dhënat dhe ekspozimin publik; ajo po rrit potencialin për ta shfrytëzuar atë.
Kur të dhënat nuk i publikon ti
Megjithatë, përgjegjësia nuk mund t’i ngarkohet vetëm individit. Mund të tregohesh shumë i kujdesshëm dhe përsëri të dhënat e tua të përfundojnë në duart e njerëzve që nuk duhet t’i kenë. Numrin e telefonit mund të mos e kesh publikuar kurrë. As adresën, pagën, vendin e punës apo të dhënat e automjetit. Por këto informacione mund t’ia kesh dhënë një institucioni ose kompanie që kishte arsye legjitime për t’i administruar dhe detyrimin për t’i mbrojtur.
Shqipëria e ka përjetuar këtë problem në përmasa që nuk mund të trajtohen si teori. Në publik kanë qarkulluar databaza me të dhëna personale, paga, vende pune, numra telefoni dhe të dhëna automjetesh. Institucionet shqiptare kanë qenë gjithashtu objekt i sulmeve serioze kibernetike. Këtu përgjegjësia është institucionale dhe çështjet janë konkrete: si u morën të dhënat, kush kishte akses, cilat masa sigurie munguan ose dështuan, kush mban përgjegjësi dhe çfarë është bërë që e njëjta gjë të mos përsëritet.
Por historia nuk përfundon në momentin kur një databazë del nga sistemi ku duhej të qëndronte. Pikërisht aty fillon një problem tjetër, për të cilin flasim shumë më pak.
Një file Excel me të dhëna personale nuk udhëton vetë nga një telefon në tjetrin. Nuk hap vetë grupe në WhatsApp apo Telegram dhe nuk ia dërgon vehten miqve, kolegëve dhe të afërmve. Njerëzit e bëjnë këtë. Dikush e merr databazën, dikush tjetër e përcjell, një tjetër e ngarkon në një grup dhe dikush fillon të kërkojë emra. Shumë shpejt informacioni personal i mijëra njerëzve transformohet nga një incident serioz i mbrojtjes së të dhënave në një formë argëtimi: sa e ka pagën filani, ku punon tjetri, kërko emrin e këtij, ma dërgo edhe mua Excel-in.
Këtu shfaqet një kontradiktë që meriton të thuhet pa shumë diplomaci: kërkojmë me të drejtë që institucionet të mbrojnë të dhënat tona, ndërsa në të njëjtën kohë mund të jemi shumë të interesuar të marrim një kopje të të dhënave të vjedhura të dikujt tjetër. Privatësia është shumë e rëndësishme kur bëhet fjalë për ne. Kur bëhet fjalë për tjetrin, papritur fiton kurioziteti.
Nga rrjedhja e të dhënave te “ma ço videon”
Me fotografitë dhe videot intime problemi bëhet edhe më i rëndë. Nuk ka rëndësi për këtë diskutim cili personazh publik shfaqet në një material të caktuar dhe as nuk ka arsye të përsëriten pretendime të paverifikuara për mënyrën se si është siguruar ai. Nëse origjina e materialit është objekt hetimi, duhet të mbetet e tillë derisa faktet të përcaktohen. Fenomeni që na intereson fillon në momentin kur një material privat shfaqet në internet dhe një pjesë e publikut nuk pyet nëse duhet ta shohë apo shpërndajë, por vetëm se ku mund ta gjejë.
“Ma ço videon” duket si një kërkesë e parëndësishme. Personi që e kërkon nuk ka hakuar telefonin e askujt, nuk ka hyrë në ndonjë server dhe ndoshta nuk ka qenë personi që e ka publikuar fillimisht. Por një material privat nuk bëhet viral vetëm sepse ekziston. Bëhet viral sepse qindra ose mijëra njerëz e shkarkojnë, e ruajnë dhe ia përcjellin njëri-tjetrit. Autori i komprometimit fillestar mund të ketë hapur rrjedhjen; publiku mund ta transformojë atë në përmbytje.
Në atë moment nuk kemi më vetëm një problem cybersecurity. Kemi një problem të kulturës digjitale dhe të respektit për privatësinë. Kërkojmë që kompanitë, bankat dhe institucionet të mos abuzojnë me informacionin tonë, por kur informacioni privat i dikujt tjetër shfaqet në një grup, tundimi për ta konsumuar dhe shpërndarë mund të fitojë menjëherë mbi parimet. Fakti që materiali është bërë teknikisht i aksesueshëm nuk krijon automatikisht të drejtën për ta poseduar apo shpërndarë. Akses nuk do të thotë e drejtë.
Ky dallim është veçanërisht i rëndësishëm për materialet intime. Personi mund të jetë politikan, biznesmen, artist, gazetar apo një qytetar krejt i panjohur. Statusi publik nuk e shndërron automatikisht jetën intime në pronë publike. Ekziston interes publik për korrupsionin, abuzimin me detyrën, konfliktin e interesit dhe veprimtarinë kriminale. Kurioziteti për jetën seksuale të dikujt është diçka tjetër. Ngatërrimi i këtyre dy gjërave është një mënyrë shumë e përshtatshme për ta quajtur voyeurism-in “informim”.
AI e bën edhe më të rrezikshme këtë kulturë
Problemi bëhet shumë më serioz kur kultura e “ma ço edhe mua” takohet me inteligjencën artificiale. Deri tani kemi folur kryesisht për të dhëna dhe materiale reale që janë ekspozuar. Por tashmë materiali komprometues nuk ka pse të ketë ekzistuar në formën që paraqitet. Një fotografi mund të manipulohet, një fytyrë mund të vendoset në një trup tjetër, një zë mund të sintetizohet dhe një video mund të modifikohet ose fabrikohet.
Infrastruktura sociale për shpërndarjen e këtyre materialeve nuk duhet të shpiket nga AI. Ajo ekziston tashmë. Kemi aplikacionet, grupet, kanalet, rrjetet sociale dhe, mbi të gjitha, kemi kuriozitetin njerëzor. Nëse një shoqëri është mësuar të shkarkojë dhe shpërndajë materiale intime reale, kalimi te materialet sintetike nuk kërkon ndonjë revolucion kulturor. Duhet vetëm një file mjaftueshëm bindës.
Kjo sjell edhe një problem të dytë. Përmbajtja e fabrikuar mund të besohet si reale, por përhapja e deepfake-ve krijon edhe mundësinë e kundërt: përmbajtja reale mund të mohohet duke u deklaruar si produkt i AI-së. Prandaj “e pashë videon” nuk mund të jetë më standard verifikimi. Duhet të interesohemi për origjinën, burimin, materialin origjinal, manipulimet e mundshme dhe zinxhirin e proveniencës. Në lojë nuk është më vetëm privatësia e individit, por besimi i publikut te prova digjitale.
Të dhënat në telefonin tuaj nuk janë vetëm tuajat
Ka edhe një problem tjetër me deklaratën “mua nuk më intereson privatësia ime”. Pajisjet tona nuk përmbajnë vetëm informacionin tonë. Në telefon kemi numrat, fotografitë dhe mesazhet e njerëzve të tjerë. Në kompjuter mund të kemi dokumente pune, të dhëna klientësh, informacione për kolegët dhe materiale që na janë besuar pikërisht me supozimin se do t’i mbrojmë.
Për gazetarin kjo përgjegjësi është edhe më e madhe. Një pajisje e komprometuar mund të ekspozojë një burim konfidencial, dokumente të papublikuara, komunikime, investigime në proces dhe njerëz që mund të kenë marrë rrezik personal duke dhënë informacion. Një gazetar që thotë “nuk më intereson nëse ma hapin telefonin, nuk kam asgjë për të fshehur” mund të harrojë se nuk ka të drejtë të marrë të njëjtin vendim në emër të burimeve të tij.
Prandaj siguria digjitale nuk është gjithmonë çështje preference personale. Pakujdesia juaj mund të krijojë pasoja për njerëz që nuk janë pyetur fare nëse duan ta marrin atë rrezik.
Chatbot-i nuk është koshi universal i dokumenteve
AI ka krijuar ndërkohë një formë tjetër të pakujdesisë. Një chatbot duket si një bisedë private dhe kjo krijon tundimin për ta përdorur si tavolinë pune universale. Ngarko kontratën, databazën, procesverbalin, email-et, listën e punonjësve ose dokumentin që përmban të dhëna personale dhe kërko një përmbledhje. Është e shpejtë dhe jashtëzakonisht praktike.
Problemi fillon kur askush nuk pyet nëse kishte të drejtë ta ngarkonte materialin, çfarë informacioni përmban, çfarë shërbimi po përdor, cilat politika zbatohen për të dhënat dhe nëse organizata ka rregulla për përdorimin e sistemeve të AI-së. Fakti që ndërfaqja duket si një chat nuk e shndërron automatikisht shërbimin në kasafortë. Inteligjenca artificiale është një instrument shumë i fuqishëm pune; “copy-paste” nuk është politikë sigurie.
Cybersecurity është e mërzitshme, dhe pikërisht ky është qëllimi
Problemi i madh i cybersecurity është se kur funksionon, zakonisht nuk ndodh asgjë interesante. Password manager-i kërkon pak disiplinë. MFA shton një hap. Security key duhet ruajtur. Përditësimet shfaqen në momentin më të papërshtatshëm. Backup-i është një punë që askush nuk dëshiron ta bëjë. Kontrollimi i një domain-i apo attachment-i kërkon disa sekonda më shumë. Kufizimi i informacionit që publikojmë nuk sjell më shumë like.
Askush nuk ju telefonon për t’ju uruar që sot nuk ju vodhën llogarinë sepse kishit aktivizuar MFA. Askush nuk ju jep medalje sepse backup-i funksionoi kur disku dështoi. Dhe askush nuk e di se një mashtrues nuk arriti të ndërtonte një profil të plotë për ju sepse nuk ia kishit servirur jetën në internet. Suksesi i sigurisë shpesh është pikërisht mungesa e ngjarjes.
Cybersecurity nuk do të thotë të fikësh telefonin, të mbyllësh rrjetet sociale dhe të jetosh në bunker. Do të thotë menaxhim rreziku. Të kuptosh se jo çdo informacion duhet publikuar, jo çdo aplikacion ka nevojë për çdo permission, jo çdo link duhet hapur, jo çdo dokument duhet ngarkuar kudo dhe jo çdo material që mbërrin në Telegram apo WhatsApp duhet ruajtur dhe përcjellë. Do të thotë gjithashtu të pranosh se siguria absolute nuk ekziston dhe se edhe një person shumë i kujdesshëm mund të bëhet viktimë. Por ekziston një ndryshim i madh midis të qenit viktimë e një sulmi të sofistikuar dhe të lësh çelësin te dera.
Për këtë arsye, pyetja moderne e cybersecurity nuk mund të jetë vetëm “a është pajisja ime e sigurt?”. Duhet të pyesim çfarë po ekspozojmë vetë, çfarë informacioni për njerëzit e tjerë mbajmë, çfarë po shpërndajmë, nëse kemi të drejtë ta shpërndajmë, nëse ajo që po shohim është autentike dhe çfarë mund të bëjnë sistemet e reja të AI-së me informacionin që kemi vendosur publikisht në dispozicion.
Dhe këtu kthehemi te pylli. Nuk mund të bëhemi të padukshëm në internet dhe nuk mund të garantojmë se askush nuk do të na sulmojë. Nuk mund të garantojmë as që një institucion të cilit i kemi besuar të dhënat nuk do të komprometohet ndonjëherë. Në epokën e AI-së nuk mund të jemi më plotësisht të sigurt as se fotografia, zëri apo videoja që shfaqet nesër me fytyrën tonë është krijuar prej nesh. Por mund të zvogëlojmë gjurmët që lëmë dhe, mbi të gjitha, mund të vendosim se çfarë bëjmë me gjurmët e të tjerëve.
Ose mund të zgjedhim variantin më të thjeshtë: të japim çdo permission, të ripërdorim të njëjtin fjalëkalim, të publikojmë vendndodhjen, të shkarkojmë databazën e rrjedhur, të kërkojmë pagën e kolegut, të ruajmë videon private, t’ia përcjellim një shoku dhe të ngarkojmë dokumentin konfidencial në shërbimin e parë të AI-së që na del përpara. Cybersecurity? Jo, faleminderit.
Vetëm se, kur një ditë dikush të dijë emrin, adresën, vendin e punës, pagën, familjen, kontaktet, zakonet, vendndodhjen, zërin dhe fytyrën tonë, nuk duhet ta shpallim menjëherë gjeni të informatikës. Një pjesë të informacionit mund t’ia kemi dhënë vetë, një pjesë mund ta ketë humbur institucioni të cilit ia besuam dhe një pjesë mund t’ia kenë përcjellë njerëz që nuk kishin asnjë të drejtë ta bënin.
Në epokën ku po hyjmë, për pjesën që mungon mund të kujdeset edhe inteligjenca artificiale.
Marrë nga Shteg.org
