stalkerware

Stalkerware to aplikacje, programy i urządzenia, które pozwalają jednej osobie potajemnie śledzić prywatne życie drugiej przez jej telefon ^[1]. Sprawca instaluje je zwykle sam, korzystając z fizycznego dostępu do urządzenia partnera, dziecka albo pracownika. Stalkerware jest odmianą oprogramowania szpiegowskiego (spyware), a przez to szerszej klasy złośliwego oprogramowania (malware). Różni się od nich modelem biznesowym: bywa sprzedawane legalnie, jako „kontrola rodzicielska” albo „monitoring”, a złośliwe staje się przez sposób użycia.

Jak działa

Coalition Against Stalkerware opisuje, że sprawca może zdalnie monitorować całe urządzenie: wyszukiwania w sieci, położenie, wiadomości tekstowe, zdjęcia i rozmowy głosowe ^[1]. Program działa w tle i ukrywa się przed osobą, której telefon obserwuje ^[1]. Zebrane dane trafiają na serwer producenta, a stamtąd do panelu WWW, w którym sprawca je przegląda. Schemat poniżej pokazuje ten obieg.

RYS. 1Obieg danych w aplikacji typu stalkerware

Instalacja wymaga często osłabienia zabezpieczeń telefonu. Federalna Komisja Handlu (FTC) ustaliła, że aplikacje SpyFone wymagały od kupujących obejścia wielu ograniczeń systemu Android i podawały instrukcje, jak ukryć aplikację ^[5]. Dlatego rootowanie lub jailbreak telefonu (rooting / jailbreaking) i sideloading spoza sklepu są typowymi śladami takiej instalacji.

Stalkerware a legalny monitoring

Granica przebiega przez jawność i zgodę. Google Play dopuszcza wyłącznie aplikacje zaprojektowane i reklamowane do monitorowania innej osoby, na przykład dzieci przez rodziców albo pracowników przez firmę, i tylko po spełnieniu warunków ^[3]. Ten sam dokument zabrania śledzenia kogokolwiek innego, na przykład współmałżonka, nawet za jego zgodą ^[3].

Do etycznej kontroli rodzicielskiej Niebezpiecznik zaleca narzędzia producentów telefonów, a do nadzoru nad służbowymi urządzeniami systemy MDM (zarządzanie urządzeniami mobilnymi) ^[6].

Skala i skutki

Kaspersky, korzystając z kryteriów wykrywania Coalition Against Stalkerware, naliczył w 2023 roku 31 031 unikalnych użytkowników dotkniętych stalkerware, wobec 29 312 w 2022 roku ^[4]. W tym samym raporcie Polska zajęła szóste miejsce w Europie, ze 179 użytkownikami ^[4]. Firma wykryła w 2023 roku 195 różnych aplikacji tego typu ^[4]. Te liczby opisują tylko urządzenia z oprogramowaniem jednego producenta, więc pokazują trend, a nie pełną skalę zjawiska.

Skutki dotyczą przede wszystkim osoby śledzonej. Stalkerware jest narzędziem przemocy domowej i cyberprzemocy: koalicja podkreśla, że odpowiedzialność ponosi sprawca, który go używa ^[1]. Drugim skutkiem jest wyciek danych. Producent przechowuje na swoim serwerze wiadomości, lokalizacje i kontakty osób, które nigdy nie zgodziły się na zbieranie danych. Gdy ten serwer zostanie przejęty, dane trafiają do obcych, co jest poważnym naruszeniem prywatności.

Po stronie serwera

Stalkerware działa na telefonie, ale jego drugą połową jest aplikacja WWW producenta: interfejs API i panel operatora. Ta część ma te same słabości co każda strona internetowa. Włamywacz, który w 2023 roku przejął dane polskiej aplikacji LetMeSpy, opisał użycie SQL injection w logowaniu do API ^[6]. Według Niebezpiecznika wyciek objął ponad 26 000 adresów e-mail operatorów z skrótami kryptograficznymi (hash) haseł i ponad 16 000 treści SMS-ów, w tym część z hasłami i kodami do usług ^[6]. Producent zgłosił sprawę policji ^[6].

Podobny wątek pojawił się w sprawie SpyFone. FTC zarzuciła firmie, że nie szyfrowała przechowywanych danych, a w sierpniu 2018 roku włamywacz uzyskał z jej serwera dane około 2200 konsumentów ^[5]. Dla właściciela serwisu WWW wniosek jest ogólny: każda aplikacja, która gromadzi cudze dane osobowe, wymaga ochrony zaplecza, bo jej wyciek jest naruszeniem ochrony danych osobowych.

Jak się bronić

Koalicja wymienia jako możliwe sygnały szybkie rozładowywanie baterii, skoki zużycia danych, wzrost czasu ekranu i dziwne powiadomienia; zaznacza jednak, że nie są to objawy rozstrzygające ^[2]. Najczęstszym znakiem inwigilacji jest według niej zmiana zachowania sprawcy, który wie rzeczy, których nie powinien ^[2]. Kaspersky dodaje do objawów nowe aplikacje z dostępem do lokalizacji ^[4].

• Najpierw plan bezpieczeństwa. Usunięcie aplikacji albo duże zmiany w telefonie mogą zostać zauważone przez sprawcę i nasilić przemoc ^[2]. Koalicja zaleca przygotowanie planu z organizacją pomocową ^[2], a Kaspersky kontakt z lokalną organizacją zamiast samodzielnego usuwania ^[4].
• Dowody. Skasowanie stalkerware usuwa też dowody; osoba, która chce zgłosić sprawę, może potrzebować wsparcia organów ścigania ^[2]. Zabezpieczeniem śladów zajmuje się informatyka śledcza.
• Usunięcie. Koalicja wymienia nowy telefon, przywrócenie ustawień fabrycznych z pomocą zaufanej osoby, program antywirusowy albo ręczne usunięcie ukrytych aplikacji ^[2].
• Zapobieganie. Silne hasło i blokada ekranu utrudniają fizyczny dostęp, a instalowanie aplikacji tylko z oficjalnych źródeł ogranicza ryzyko ^[4].

Historia i przykłady

Coalition Against Stalkerware powstała w listopadzie 2019 roku i łączy organizacje przeciwdziałające przemocy domowej z branżą bezpieczeństwa IT ^[1]. 1 września 2021 roku FTC zakazała firmie SpyFone i jej prezesowi działalności w branży inwigilacji ^[5]. Nakaz zobowiązał firmę do usunięcia nielegalnie zebranych danych i do powiadomienia właścicieli urządzeń, że ich telefony mogły być monitorowane ^[5]. W Polsce głośnym przypadkiem był wspomniany wyciek z LetMeSpy, aplikacji firmy Radeal Sp. z o.o. ^[6].