Jak nie dać się oskubać z danych (i nie tylko) gdy chcesz pomóc?

Zaczął się wrzesień. Dzieci poszły do szkoły, na drzewach pojawiły się żółto-pomarańczowe liście, dzień stał się krótszy od nocy i nagle temperatura z dnia na dzień spadła o 13 stopni. To znaczy, że Kraków już rozkwitł od niebieskich plakatów promujących głosowanie w Budżecie Obywatelskim. Idea jak dla mnie świetna, tylko zawsze jest pewne „ale”. Ponieważ za głosami idą konkretne pieniądze i wpływ na najbliższą okolicę, wiele organizacji pozarządowych i społecznych ruszyło do walki o głosy. A że „kontrola jest najwyższą formą zaufania” niektórzy tę walkę potraktowali bardzo poważnie i stosują praktykę, dzięki której w zamian za punkty w rankingu narażają swoich wspierających na wyciek danych. Ponieważ mnie to drażni i nie chcę, żebyś stracił swoje dane (a może i pieniądze), napiszę dziś o tym. Podejrzewam, że można się na takie pomysły natknąć także w innych częściach Polski, dlatego przeczytaj nawet, jeśli do Małopolski masz daleko.

Na czym polega ta praktyka?

W wersji najprostszej: na zbieraniu głosów na formularzach, które następnie organizacja zbiera i przekazuje do punktu głosowania (albo wprowadza do systemu).
W wersji bardziej perfidnej: na namawianiu zwolenników/członków organizacji, żeby zebrali też głosy od rodziny, znajomych i kogokolwiek innego i przynieśli zebrane karty do głosowania do organizacji.

Co w tym jest złego?

Pod pomysłem budżetu obywatelskiego podpisuję się obydwoma rękami, od kiedy tylko o nim usłyszałem. Jasne, że zdarzają się nadużycia (które zawsze będą), ale sama idea jest dla mnie świetna.
Nie ma też nic złego we wspieraniu projektu który Ci się podoba, a nawet namawianiu do tego ludzi z Twojego otoczenia.
Problem jest w tych okropnych papierowych formularzach, a dokładniej w zaprojektowanych na nich rubryczkach. Żeby oddać głos, trzeba tam wpisać swoje dane: zwykle co najmniej imię, nazwisko, jakiś kontakt i numer PESEL. A takie dane mają wartość dla cyberzbója, który ma pomysł jak je wykorzystać.

Absolutnie nie twierdzę, że jakaś organizacja będzie chciała sama wykorzystać zebrane głosy poparcia, żeby wykorzystać wspierających. Ale też nie wierzę, że każdy zbierający głosy ma doskonale opracowany proces, który zapewnia pełną ochronę danych od momentu ich przekazania (trzeba je jakoś dowieźć do punktu zbierania albo komputera), przez wprowadzenie (jesteś pewny, że dobrze zabezpieczyli komputer, na którym to zrobią?), aż do zniszczenia (bo potem te karty zniszczą, a nie wyrzucą na śmietnik… prawda?).

Do tego może pojawić się problem prawny: może się okazać, że organizacja przetwarza dane kogoś, kto o tym nie ma pojęcia i nigdy nie udzielił jej do tego prawa.

A w najgorszym przypadku – bo przecież i taki może się zdarzyć – raczej nie chcesz nagle sobie uświadomić, że te karteczki, które miałeś przywieźć zostały w tramwaju/kawiarni/gdziekolwiek i Ty sam oddałeś dane osób, które Ci uwierzyły, w ręce nie-wiadomo kogo.

Co się może stać, jeśli dane wyciekną?

Scenariuszy jest kilka. W najprostszym: mogą pojawić się w bazach danych dostępnych dla przestępców. Pomysłowy cyberzbój może z nimi na przykład wziąć chwilówkę, kupić i zarejestrować samochód albo podpisać umowę na telefon. Może też próbować przejąć maila albo numer telefonu podany na wniosku lub wykorzystać dane do oszustw na platformach zakupowych. A osoba, której dane wykorzystano, po jakimś czasie dowie się, że zalega z ratami, nie opłaciła OC samochodu o którym nie słyszała, albo że zbiera pieniądze za telefony w internecie, a potem ich nie wysyła. Żaden z tych scenariuszy nie jest przyjemny.

Czego nie robić nawet, jeśli bardzo wspierasz daną organizację?

Dlatego mam do Ciebie prostą prośbę: nigdy, przenigdy nie zgadzaj się na taką formę głosowania. Ale nie chodzi o takie zwykłe „nie” i odwrócenie się na pięcie. Jeśli zależy Ci na jakiejś organizacji, wytłumacz dlaczego tego nie zrobisz (i wesprzesz ją inaczej – patrz niżej). Możesz też podesłać linka do tego wpisu tym, którzy Cię namawiają na takie głosowanie.

Czego tym bardziej nie robić?

Absolutnie nie zbieraj głosów od swoich znajomych. Głupio jest być ofiarą wycieku danych, ale jeszcze ciężej jest być jego przyczyną.

Jak w takim razie głosować?

W Krakowie można bez problemu zagłosować przez internet. Myślę że w innych miejscach tak samo. Więc jeśli chcesz wesprzeć dany projekt – powiedz, że zrobisz to samodzielnie przez sieć. I kropka. Pamiętaj tylko, żeby sprawdzić dobrze adres strony, przez którą to robisz. Zwłaszcza, jeśli wpiszesz w wyszukiwarce „budżet obywatelski [nazwa_twojego_rejonu]”, bo wtedy w pierwszych linkach mogą się pojawić fałszywe strony, za których promocję zapłacili przestępcy.

Swoich znajomych też namawiaj, żeby zagłosowali przez sieć. Jeśli ktoś może mieć z tym problem, zaoferuj pomóc.

W ten sposób wesprzesz projekt, na którym Ci zależy, minimalizując ryzyko.

Oczywiście, można też skorzystać z oficjalnych punktów głosowania dostępnych w różnych miejscach, chociaż w nich też pojawia się problem zostawienia danych na papierze. Więc traktuj to jako rozwiązanie ostateczne.

Dodatkowo (a może przede wszystkim), zastrzeż swój PESEL. I znowu: namawiaj do tego wszystkich dookoła. To całkowicie darmowa usługa, która utrudni życie cyberprzestępcom, którzy będą chcieli wykorzystać Twoje wykradzione dane. A jeśli potrzebujesz użyć tego numeru do podpisania jakiejś umowy, po prostu na chwilę odblokowujesz go w aplikacji mObywatel.

Wszystkie konta pocztowe warto też zabezpieczyć uwierzytelnianiem dwuskładnikowym: przez klucz U2F, a przynajmniej aplikację z kodami jednorazowymi. Jeśli chcesz, mogę napisać o tym więcej.

Warto też porozmawiać z organizacją, która zbiera głosy w wymieniony sposób i powiedzieć im, dlaczego nie powinni tak robić (oczywiście, możesz pokazać ten wpis). W ostateczności możesz nawet rozważyć zgłoszenie skargi na zbierających do UODO (możesz to zrobić przez ePUAP bez wychodzenia z domu, ale zawsze najpierw warto porozmawiać i napomnieć, bo edukacja działa lepiej niż kary).

Jak jeszcze wspierać?

Cóż… mój blog nie jest na tyle duży, żebym robił projekty do jakiegoś budżetu obywatelskiego, ale na jeśli podeślesz ten wpis osobom zbierającym głosy na swoje projekty, zwiększysz ich świadomość na temat bezpieczeństwa. Jeśli chcesz mnie wesprzeć, możesz dorzucić się do utrzymania serwera przez link w grafice:

Jeśli spodobał Ci się ten wpis, zapisz się na newsletter. Dzięki temu dostaniesz maila za każdym razem, gdy opublikuję coś nowego (poza tym raczej nie piszę, więc nie będę spamował).

Możesz też podesłać ten link znajomym i też namawiać ich na zapisanie się… ale absolutnie nie bierz od nich adresów i nie wpisuj sam do formularza:-).