Dominik Piotrowicz

Tag: OPSEC

  • Prywatne drzewo, publiczny graf: OPSEC w genealogii internetowej

    Wydaje Ci się, że Twój profil w serwisie genealogicznym jest bezpieczny, ponieważ ukryłeś imiona i daty urodzenia żyjących krewnych? W świecie OSINT-u (białego wywiadu) to często tylko iluzja prywatności. Jako analityk muszę Cię zmartwić: aby bezbłędnie Cię zidentyfikować, wcale nie potrzebuję Twojego imienia. Wystarczy mi struktura Twojej rodziny.

    Większość użytkowników platform takich jak MyHeritage czy Geni zakłada, że mechanizmy prywatyzacji profili całkowicie chronią ich tożsamość. W rzeczywistości, udostępniając w sieci precyzyjną strukturę powiązań – liczbę rodzeństwa, unikalne nazwiska rodowe czy nagłe pojawienie się nowych linii bocznych – tworzymy gigantyczną powierzchnię ataku. Poniżej pokażę Ci, czym jest OPSEC (Operations Security) w badaniach rodzinnych i dlaczego ukrycie danych to w genealogii stanowczo za mało.

    Warto od razu wyraźnie zaznaczyć: to nie jest artykuł o polowaniu na ludzi ani ofensywny podręcznik dla stalkerów. Moim celem jest edukacja w zakresie ochrony własnej rodziny, zabezpieczania wrażliwych danych relacyjnych oraz budowania świadomości na temat praw osób. Pamiętaj przy tym o fundamentalnej zasadzie etycznej: jeśli żyjący krewny poprosi Cię o usunięcie go z internetowego drzewa, nie dyskutuj i nie zasłaniaj się hasłami w stylu „ale to przecież nasza wspólna historia”. Szanuj jego prawo do cyfrowej nieobecności i bez zbędnych pytań po prostu usuń jego profil.

    Genealogia to nie lista. To matematyczny graf

    Badania genealogiczne z czasem przekształcają się z prostego spisu przodków w zaawansowaną mapę relacji społecznych. Dla badacza historii rodzinnej te informacje stanowią bezcenny materiał dowodowy. Jednak dla analityka OSINT są one ustrukturyzowanym grafem, gdzie wierzchołki to osoby, a krawędzie – relacje między nimi.

    Wyobraźmy sobie schemat, w którym widnieje zmarłe małżeństwo o rzadkim nazwisku. Pod nim znajdują się cztery niepubliczne rekordy dzieci. Przy jednym z nich widać niepublicznego partnera o równie rzadkim nazwisku rodowym i trójkę dzieci. Przy drugim dziecku brak potomstwa, przy trzecim widać dwa kolejne związki małżeńskie.

    Nawet jeśli system ukrywa imiona i daty, struktura tego minigrafu jest absolutnie unikalna. Jeśli rodzina pochodzi z niewielkiej społeczności, dopasowanie tej „anonimowej” struktury do danych z publicznych rejestrów, nekrologów czy profili społecznościowych jest zadaniem trywialnym. W teoriach analizy sieciowej nazywamy to deanonimizacją strukturalną. Twoja tożsamość zostaje ujawniona nie przez to, jak się nazywasz, ale przez geometrię Twoich połączeń z innymi.

    Poniższy schemat obrazuje, jak łatwo analityk może nałożyć na siebie anonimowy wykres z portalu genealogicznego oraz jawne relacje z mediów społecznościowych, by metodą eliminacji i mapowania ujawnić tożsamość ukrytych osób:

    KROK 1: Anonimowy graf genealogiczny (Ga)
       
          [Zmarły Jan Kowalski]
                   │
                   ▼
         [Prywatny A] ─── [Prywatny partner]
          │        │
          ▼        ▼
     [Prywatny B] [Prywatny C]


KROK 2: Jawny graf z mediów społecznościowych (Gb)
       
          [Śp. Jan Kowalski]
                   │
                   ▼
         [Anna Kowalska] ─── [Marek Wiśniewski]
          │            │
          ▼            ▼
     [Tomasz Wiśn.] [Katarzyna Wiśn.]


KROK 3: Nałożenie struktur i pełna deanonimizacja (Ga -> Gb)

 - Unikalny układ relacji (rodzic o rzadkim nazwisku + partner
   + dwoje dzieci) pokrywa się w obu źródłach w 100%.
 - Identyfikacja ukrytych węzłów:
   * [Prywatny A]       ==> Anna Kowalska
   * [Prywatny partner] ==> Marek Wiśniewski
   * [Prywatny B]       ==> Tomasz Wiśniewski
   * [Prywatny C]       ==> Katarzyna Wiśniewski

    Mechanizm ten jest bardzo podobny do weryfikacji tożsamości poprzez unikalną kombinację atrybutów. Opisywałem to szerzej w artykule: Śledztwo OSINT – Powstanie Warszawskie.

    Iluzja prywatności na platformach Geni i MyHeritage

    Serwisy genealogiczne opierają się na współpracy i wymianie danych. To rozwiązanie idealne dla dokonywania nowych odkryć, ale jednocześnie wysoce ryzykowne z perspektywy bezpieczeństwa operacyjnego.

    1. Pułapka „Grupy Rodzinnej” na Geni

    Geni opiera się na idei jednego, globalnego drzewa. Choć profile osób żyjących są domyślnie ukryte (np. jako [private] Nazwisko), dostęp do nich mają menedżerowie profili oraz członkowie Grupy Rodzinnej (Family Group). Platforma pozwala na dodanie do tej grupy krewnych aż do stopnia czwartego kuzyna. W ujęciu genealogicznym to bliska rodzina, ale w rzeczywistości – to często obcy człowiek z internetu. Nadanie mu uprawnień to jak oddanie kluczy do cyfrowego sejfu całej Twojej żyjącej rodziny. Szczegółowe zasady widoczności tych danych możesz zweryfikować bezpośrednio w oficjalnej dokumentacji serwisu: Centrum Pomocy Geni: Jakie profile są prywatne oraz Centrum Pomocy Geni: Kto wchodzi w skład mojej Grupy Rodzinnej.

    2. MyHeritage, czyli dylemat „izolowanych ogrodów”

    MyHeritage reklamuje się zupełnie inaczej. Zamiast jednego wspólnego drzewa, oferuje model niezależnych, „prywatnych ogrodów”. Każdy użytkownik tworzy tam własny, teoretycznie odcięty od świata projekt. To buduje potężne, ale złudne poczucie bezpieczeństwa. Myślisz: „To moje własne drzewo, nikt obcy bez mojego zaproszenia tu nie wejdzie”. Ale czy na pewno?

    W rzeczywistości te prywatne ogrody są odizolowane tylko na poziomie interfejsu użytkownika. Pod maską platformy działa silnik Smart Matches, który analizuje, porównuje i de facto łączy te odizolowane bazy danych. Regulamin serwisu definiuje ten mechanizm jako kompromis prywatności (privacy tradeoff), co zostało szczegółowo opisane w oficjalnych dokumentach platformy: Zasady Ochrony Prywatności MyHeritage oraz Warunki Świadczenia Usług MyHeritage. Zgoda na automatyczne dopasowania pozwala odkryć historycznych przodków, ale jednocześnie eksponuje strukturę Twoich współczesnych powiązań rodzinnych algorytmom i osobom trzecim. Jeśli Twój daleki kuzyn opublikuje u siebie publicznie jakąś linię rodzinną, a Ty posiadasz ją w swoim „prywatnym” drzewie, system utworzy między wami pomost relacyjny, walidując strukturę Twojego grafu.

    Co więcej, platformy Geni i MyHeritage regularnie wymieniają się tymi ustrukturyzowanymi danymi między sobą.

    Najbardziej krytyczny moment: „Cyfrowy nekrolog”

    Szczególnie niebezpiecznym punktem styku danych są profile osób niedawno zmarłych. W genealogii zmiana statusu profilu z „żyjący” (prywatny) na „zmarły” (publiczny) następuje często bezpośrednio po zgonie danej osoby.

    Z perspektywy OSINT to moment, w którym otwierają się drzwi do całej sieci relacji. Osoba niedawno zmarła zazwyczaj posiada jeszcze aktywne konto w mediach społecznościowych, na przykład na Facebooku. Pojawiają się tam publiczne kondolencje, komentarze z konkretnymi zwrotami (np. „żegnaj tato”, „spoczywaj w pokoju babciu”) oraz oznaczenia na rodzinnych fotografiach.

    W ten sposób publiczny profil zmarłego na MyHeritage staje się węzłem. Bezpośrednio łączy historyczną, zarchiwizowaną część drzewa ze współczesną, tętniącą życiem siecią społeczną na Facebooku. Efektem jest deanonimizacja żyjącej rodziny, która nie wyraziła zgody na upublicznienie swoich powiązań.

    Jakie to ma znaczenie w świecie realnym? (Modelowanie zagrożeń)

    Możesz zadać sobie pytanie: kogo właściwie obchodzi moje drzewo genealogiczne? Skuteczny OPSEC wymaga wyobraźni, a cyberprzestępcy nie potrzebują Twojego DNA – oni potrzebują precyzyjnych wektorów ataku.

    Warto pamiętać, że naszym przeciwnikiem w realnym świecie rzadko jest mityczny haker w bluzie z kapturem, który próbuje włamać się na serwery. Zagrożenia są o wiele bardziej prozaiczne, przyziemne i bezpośrednio związane z inżynierią społeczną:

    • Scam i wyłudzenia: Oszuści mogą wykorzystać precyzyjną strukturę rodziny i imiona zmarłych przodków do drastycznego uwiarygodnienia ataku metodą „na wnuczka”, „na dalekiego krewnego z zagranicy” lub wyłudzeń spadkowych. O tym, jak oszuści potrafią budować presję psychologiczną, pisałem w case study: Kradzież sesji i nadużycie E2EE.
    • Stalking: Precyzyjny graf ułatwia ustalenie nowych powiązań rodzinnych, nazwisk panieńskich czy aktualnego miejsca pobytu przez osoby niepożądane.
    • Profilowanie komercyjne: Podmioty trzecie mogą łatwo korelować historię dziedzicznych chorób z profilami żyjących potomków na podstawie upublicznionych przyczyn zgonów.

    3 filary cyfrowej samoobrony (Checklista OPSEC dla genealoga)

    Nie musisz rezygnować z badań nad historią rodziny, musisz jednak zacząć świadomie zarządzać ryzykiem. Oto trzy fundamentalne zasady, które powinieneś wdrożyć od zaraz:

    1. Rozgranicz sferę online i offline: Internetowe platformy (Geni, MyHeritage) traktuj wyłącznie jako tablice ogłoszeniowe dla osób zmarłych i historycznych przodków. Pełne, aktualne dane żyjącej rodziny przechowuj tylko w lokalnych programach instalowanych na dysku komputera (offline), zabezpieczonych silnym hasłem i szyfrowaną kopią zapasową.
    2. Buduj „mosty”, a nie gałęzie: Jeśli musisz dodać swój własny, żyjący profil online, by połączyć się z historyczną gałęzią, ogranicz go do minimum. Nie dodawaj w internecie rodzeństwa, szwagrów czy historii małżeństw. Bądź tylko cichym, pojedynczym łącznikiem strukturalnym.
    3. Audytuj uprawnienia i kontroluj powiązania: Regularnie weryfikuj listę osób v Grupie Rodzinnej na Geni. Jeśli priorytetem jest dla Ciebie prywatność, wyłącz w ustawieniach automatyczne „Smart Matches” i wymianę danych z partnerami. Bądź niezwykle ostrożny przy aktualizowaniu profili osób niedawno zmarłych – upewnij się, że ich upublicznione dane nie staną się indeksem deanonimizującym całe Twoje rodzeństwo i dzieci.

    Praktyczny mini-audyt własnego drzewa

    Zamiast polegać na zapewnieniach platform, warto samodzielnie zweryfikować podatność swojego projektu na deanonimizację strukturalną. Metodologia ta opiera się na analizie informacji z pozycji zewnętrznego, nieautoryzowanego obserwatora:

    • Weryfikacja w trybie prywatnym: Wyloguj się ze swojego konta, wyczyść pamięć podręczną lub otwórz nowe okno przeglądarki w trybie prywatnym (incognito). Wyszukaj w wyszukiwarkach nazwiska rzadkich linii ze swojego drzewa. Sprawdź, jaka część struktury relacyjnej i jakie zamaskowane rekordy ([private]) są widoczne bez zalogowania.
    • Test zewnętrznego obserwatora: Poproś znajomego, który nie jest członkiem Twojej rodziny i nie posiada konta na danej platformie, o przejrzenie Twojego publicznego profilu lub widocznych fragmentów drzewa. Zapytaj, czy na podstawie liczby dzieci, chronologii małżeństw, specyficznych lokalizacji lub rzadkich nazwisk partnerów jest w stanie poprawnie wytypować tożsamość żyjących osób.
    • Kontrola profili niedawno zmarłych: Przeanalizuj profile krewnych zmarłych w ciągu ostatnich 5–10 lat. Sprawdź, czy powiązane z nimi opisy, nekrologi, zdjęcia grupowe lub powiązania z mediami społecznościowymi nie ujawniają bezpośrednio imion, wieku i miejsc zamieszkania ich żyjących zstępnych.

    Bezpieczny podział danych Online / Offline w służbie OPSEC

    Aby ułatwić sobie codzienne zarządzanie informacjami genealogicznymi, warto zastosować prosty i przejrzysty model dystrybucji danych. Stanowi on praktyczną ściągę, która pozwoli Ci uniknąć przypadkowego upublicznienia wrażliwych powiązań:

    • ONLINE (Pełne dane)
      Zmarli przodkowie, archiwalne akty metrykalne, historyczne fotografie, ogólny kontekst historyczny oraz linie rodowe możliwe do weryfikacji w publicznych źródłach.
    • ONLINE (Skrajne minimum)
      Wyłącznie żyjący łącznicy strukturalni (np. Twój własny profil i profil rodzica), którzy są niezbędni do fizycznego spięcia Twojego lokalnego drzewa ze zmarłymi liniami przodków. Profile te powinny być pozbawione dokładnych dat dziennych, zdjęć, lokalizacji oraz bocznych gałęzi.
    • OFFLINE (Ścisła ochrona).
      Pełne dane osób żyjących, współczesne gałęzie boczne (kuzyni, rodzeństwo),notatki rodzinne, a także informacje szczególnie wrażliwe – rozwody czy konflikty rodzinne.

    Często zadawane pytania (FAQ)

    Czy RODO chroni dane zmarłych przodków w drzewach genealogicznych? Ogólne Rozporządzenie o Ochronie Danych (RODO) nie ma zastosowania do danych osób zmarłych. Państwa członkowskie mogą jednak wprowadzić własne regulacje w tym zakresie. Problemem OPSEC nie jest jednak ochrona danych osób zmarłych, lecz fakt, że ich publiczne profile ujawniają tożsamość i strukturę relacji osób żyjących, które podlegają pełnej ochronie prawnej.

    Co zrobić, gdy daleki krewny opublikował moje dane bez mojej zgody? Większość platform, w tym Geni i MyHeritage, posiada procedury zgłaszania naruszeń prywatności. Użytkownik ma prawo żądać usunięcia swoich danych lub całkowitej anonimizacji swojego profilu. W świetle regulaminów tych serwisów, prawo osoby do ochrony prywatności ma bezwzględny priorytet przed prawem autora drzewa do dokumentowania historii rodziny.

    Czy lokalne programy genealogiczne (offline) są w pełni bezpieczne? Programy działające lokalnie są tak bezpieczne, jak system operacyjny komputera, na którym są zainstalowane. Dane przechowywane na dysku nie są indeksowane przez algorytmy dopasowań ani wyszukiwarki. Aby zapewnić maksymalną ochronę, warto regularnie tworzyć kopie zapasowe bazy danych i przechowywać je w zaszyfrowanych kontenerach (np. VeraCrypt).

    Krótka checklista OPSEC dla genealoga

    1. Publikuj selektywnie: Wykorzystuj portale online wyłącznie do prezentowania danych osób zmarłych.
    2. Stosuj minimalizm: Wprowadzaj profile osób żyjących wyłącznie jako uproszczone łączniki strukturalne.
    3. Audytuj uprawnienia: Regularnie weryfikuj listę członków witryny rodzinnej oraz członków Family Group.
    4. Kontroluj dopasowania: Wyłącz funkcje Smart Matches i wymianę danych z platformami partnerskimi, jeśli priorytetem jest prywatność.
    5. Chroń niedawno zmarłych: Nie uzupełniaj natychmiast profili osób niedawno zmarłych o pełne dane relacyjne, które w połączeniu z mediami społecznościowymi mogą deanonimizować żyjących krewnych.
    6. Przechowuj wrażliwe dane offline: Informacje o adopcjach, badaniach DNA, chorobach czy konfliktach rodzinne zapisuj wyłącznie w lokalnej bazie danych.

    Podsumowanie

    Współczesna genealogia nie kończy się na zakurzonych aktach zgonu w archiwach państwowych. To system naczyń połączonych z naszym codziennym, cyfrowym życiem, za którego bezpieczeństwo odpowiadamy my sami jako autorzy i administratorzy drzew.

    Czasem analiza powiązań rozpoczyna się od oficjalnego aktu zgonu, przechodzi przez nekrolog oraz bazy Geni lub MyHeritage, a kończy na publicznych profilach w mediach społecznościowych, gdzie rodzina sama w komentarzach precyzyjnie opisuje stopnie pokrewieństwa. To nie zawsze wynika z błędów technicznych czy spektakularnych wycieków baz danych. To po prostu suma drobnych, rozproszonych śladów, których nikt wcześniej nie analizował łącznie – a które dla analityka OSINT stanowią gotową mapę życia Twoich bliskich. Dbając o pamięć o zmarłych, nie zapominajmy o bezpieczeństwie tych, którzy żyją obok nas.