ślad cyfrowy

Ślad cyfrowy to całość danych, które człowiek zostawia w sieci świadomie, na przykład wpisy, zdjęcia i komentarze, oraz mimowolnie, na przykład w logach serwerów, danych o lokalizacji czy historii zakupów. Niebezpiecznik, pisząc o publikowaniu zdjęć dzieci, zwraca uwagę, że publikowanie wizerunku tworzy tzw. ślad cyfrowy, który później może być trudny do zatarcia ^[1]. Ślad cyfrowy jest pojęciem z obszaru prywatności, ale ma też znaczenie dla bezpieczeństwa: to z niego korzysta napastnik, który przygotowuje atak na konkretną osobę lub firmę.

Jak powstaje

Ślad cyfrowy rośnie przy każdej aktywności w sieci. Część informacji podajemy sami, gdy zakładamy konto, publikujemy wpis albo komentujemy. Część powstaje bez naszego udziału, bo serwery, przeglądarki i aplikacje zapisują identyfikatory techniczne. RODO w motywie 30 zwraca uwagę, że osobom fizycznym można przypisać identyfikatory internetowe, takie jak adresy IP i identyfikatory plików cookie ^[2]. Takie ślady w połączeniu z innymi informacjami mogą służyć do tworzenia profili i identyfikowania osób ^[2]. Na tym polega śledzenie w internecie, a jedną z jego technik jest fingerprinting przeglądarki.

Pojedyncze informacje zwykle niewiele mówią. Wartość śladu cyfrowego bierze się z łączenia ich w całość, co pokazuje schemat poniżej.

RYS. 1Od rozproszonych danych do profilu

Rodzaje

Ślad cyfrowy dzieli się zwykle według tego, czy jego właściciel zostawia dane świadomie.

Ostatnia grupa bywa pomijana. Niebezpiecznik opisuje, że rodzice, publikując zdjęcia dzieci, rozbudowują ich ślad cyfrowy w sposób, który może utrudnić im funkcjonowanie po latach, gdy będą już dorosłe ^[1].

W WordPressie

Strona na WordPressie jest miejscem, w którym ślad zostawiają zarówno odwiedzający, jak i sam właściciel.

Dane odwiedzających. Komentarz zapisuje w bazie nie tylko treść, imię i adres e-mail. Dokumentacja REST API WordPressa wymienia wśród pól komentarza adres IP autora i jego user agent, dostępne tylko w kontekście edycji ^[7]. Od wersji 4.9.6 z 17 maja 2018 roku niezalogowani komentujący mogą zdecydować, czy ich imię, adres e-mail i strona mają zostać zapisane w ciasteczku przeglądarki ^[6]. Ta sama wersja dodała eksport i usuwanie danych osobowych użytkownika oraz wskazanie strony z polityką prywatności ^[6].

Narzędzia właściciela. Dokumentacja WordPressa opisuje narzędzia Eksportuj dane osobowe i Usuń dane osobowe w menu Narzędzia ^[5]. Zaleca potwierdzanie żądań przez e-mail, bo chroni to przed osobami podszywającymi się pod innych ^[5]. Zaznacza też, że usunięcie nie obejmuje kopii zapasowych, a narzędzia zbierają dane tylko z WordPressa i uczestniczących wtyczek, nie z usług zewnętrznych, takich jak analityka czy newsletter ^[5]. Dane mogą więc przetrwać w kopii zapasowej albo u dostawcy osadzonej usługi.

Ślad właściciela. Sama strona też jest częścią śladu cyfrowego firmy. Nazwiska autorów, adresy e-mail w stopce, zakładki „zespół” czy metadane zdjęć ułatwiają rozpoznanie celu. Loginy autorów bywają widoczne publicznie, co wykorzystuje enumeracja użytkowników.

Zagrożenia i skutki

Ślad cyfrowy jest surowcem OSINT, czyli białego wywiadu. MITRE ATT&CK opisuje technikę T1593, w której przeciwnik przeszukuje ogólnodostępne strony i domeny w poszukiwaniu informacji o ofiarach przydatnych podczas ataku ^[3]. Zebrane dane mogą otworzyć drogę do dalszego rozpoznania, przygotowania zasobów i uzyskania początkowego dostępu ^[3]. W praktyce służą do przygotowania wiarygodnego spear phishingu i innych form socjotechniki.

• Kradzież tożsamości, gdy w sieci krążą dane pozwalające podszyć się pod osobę.
• doxing, czyli zebranie i ujawnienie danych osoby, by ją nękać.
• Przemoc i nękanie; Niebezpiecznik wymienia wśród ryzyk publikacji zdjęć dzieci możliwość ustalenia, gdzie mieszka rodzina, i przerabianie zdjęć w celu wyśmiewania ^[1], co prowadzi do cyberprzemocy.

Jak ograniczać ślad

Śladu cyfrowego nie da się usunąć całkowicie, ale można go ograniczać.

• Filtrowanie tego, co firma publikuje. NCSC zaleca systematycznie sprawdzać informacje przeznaczone do publikacji i usuwać z nich to, co przyda się napastnikowi: szczegóły oprogramowania i konfiguracji, nazwiska, role i stanowiska oraz ukryte dane ^[4].
• Świadomość pracowników. Według NCSC użytkownicy powinni rozumieć ryzyko rozmów o sprawach służbowych w mediach społecznościowych i możliwość ataku phishingowego wymierzonego w nich ^[4].
• Korzystanie z praw z RODO, w tym z prawa do usunięcia danych, zwanego prawem do bycia zapomnianym (art. 17) ^[2].
• Ograniczanie śledzenia: zgoda na pliki cookie tylko na niezbędne ciasteczka. Tryb incognito nie ukrywa adresu IP przed odwiedzaną stroną.
• Na własnej stronie: zbieranie tylko potrzebnych danych, polityka prywatności oparta na pomocniku z WordPressa i obsługa żądań eksportu oraz usunięcia ^[5].

Historia i przykłady

Zbiorcze narzędzia prywatności w WordPressie pojawiły się w wersji 4.9.6, wydanej 17 maja 2018 roku, zanim RODO zaczęło być stosowane 25 maja 2018 roku ^[6]. W kwietniu 2025 roku Niebezpiecznik opisał ryzyka publikowania zdjęć dzieci, podkreślając, że ślad cyfrowy tworzony przez rodziców obciąża dziecko na przyszłość ^[1].