Centra oszustów i gra o miliardy. Jak okradają nas przez internet

Pięć redakcji – łotewski TVNET, chorwacki Telegram.hr, niemiecki CORRECTIV, austriacka Die Presse i polskie OKO.press przygotowują wspólny podcast poświęcony temu, co porusza europejską społeczność.

Tym razem nasi koleżanki i koledzy z Wiednia zajęli się problemem internetowych scamów – oszustw, których ofiarami corocznie padają dziesiątki tysięcy ludzi. Rekordzista z Austrii stracił... 11 milionów euro na fałszywej inwestycji w kryptowaluty. Theresa Wirth z Die Presse tłumaczy, jak się takie oszustwa uprawia i opowiada o swoich rozmowach z bawarskim prokuratorem, który zajmuje się kwestią internetowej przestępczości. A Frida Thurm z CORRECTIV.Europe przypomina historię shadow IT w Europolu – jak instytucja, która ma zwalczać przestępców na terenie UE, sama otworzyła szeroko bramy wyłudzaczom danych.

Podcast został nagrany w języku angielskim i przeczytany przez polskiego lektora. Poniżej znajdziecie jego transkrypcję.

„Cześć mamo, mój telefon przestał działać. Napisz do mnie na ten numer”.

Anna Wallner: Czy zdarzyło ci się kiedyś dostać wiadomość o takiej treści? Pewnie tak. Właśnie tak zaczyna się jedno z najpopularniejszych oszustw – metoda „na syna” albo „na córkę”.

Na początku wymiana wiadomości wygląda zupełnie niewinnie. Kilka zdań, krótka rozmowa. A potem pojawia się prośba o przelew.

Rzekomy syn, córka, a czasem nawet wnuk tłumaczy, że przez nowy telefon nie ma dostępu do bankowości internetowej, ale pilnie musi zapłacić ważny rachunek. I właśnie wtedy zaczyna się oszustwo. Dziś niemal każdy zna kogoś, kto omal nie padł ofiarą albo rzeczywiście został oszukany.

Internetowy amant, który po tygodniach komplementów nagle potrzebuje pieniędzy. „Doradca inwestycyjny”, który odkrył nową kryptowalutę gwarantującą niewiarygodne zyski. Albo telefon od osoby informującej – zwykle starszych ludzi – że wydarzyło się coś strasznego i ich bliscy są w niebezpieczeństwie.

W niektórych krajach wokół takich oszustw wyrosła wręcz cała gałąź przestępczego biznesu, działająca niekiedy nawet pod polityczną ochroną. Dlatego w tym odcinku zadajemy pytanie: Czy Unia Europejska jest w stanie skutecznie z tym walczyć?

To ósmy odcinek podcastu Lens EU.

Nazywam się Anna Wallner. Od blisko dwudziestu lat jestem dziennikarką austriackiego dziennika Die Presse, gdzie odpowiadam między innymi za nasze produkcje audio. Dziś poprowadzę ten odcinek.

W jego pierwszej części wrócimy do cyklu śledczych materiałów opublikowanych przez Die Presse na początku lipca. Ich autorami są Christoph Zotter i Theresa Wirth, a za część interaktywną odpowiada Katrin Nussmayr. Za chwilę opowiemy o tym więcej.

W tym odcinku przyjrzymy się dwóm konkretnym obszarom cyberprzestępczości. Najpierw porozmawiam z moją redakcyjną koleżanką Theresą Wirth o jej śledztwie dotyczącym ogromnej siatki oszustów, która po latach została rozbita. Chodzi o tzw.

Milton Group. W drugiej części usłyszymy Fridę Thurm, starszą reporterkę naszej partnerskiej redakcji CORRECTIV.Europe w Niemczech. Zanim jednak zaczniemy, kilka słów o skali problemu.

Według Global Anti Scam Alliance – organizacji zrzeszającej m.in. firmy technologiczne, takie jak Google i Apple, a także banki oraz organizacje konsumenckie –

To wartość porównywalna z roczną gospodarką państwa wielkości Danii.

Co te liczby oznaczają dla Austrii i całej Unii Europejskiej? O to zapytam teraz moją koleżankę Theresę Wirth. Od kilku lat relacjonuje ona dla Die Presse wydarzenia z Wiednia i okolic.

Naszą rozmowę zaczęliśmy od podstawowego pytania: Czym właściwie jest scam?

Theresa Wirth: Słowem „scam” określa się oszustwo, którego istotą jest wykorzystanie zaufania drugiej osoby. Celem sprawców jest zawsze zdobycie pieniędzy albo danych osobowych. W krajach niemieckojęzycznych termin ten najczęściej odnosi się do oszustw internetowych – wszelkich form cyberprzestępczości i wyłudzeń.

Obejmuje jednak także fałszywe SMS-y, wiadomości na WhatsAppie czy telefony od oszustów, takie jak te, o których wspomniałyśmy na początku.

Anna Wallner: Jak wygląda skala tego zjawiska? Ile takich przypadków odnotowuje się w Austrii i w Unii Europejskiej?

Theresa Wirth: To nie jest łatwe do oszacowania. Jeśli chodzi o Austrię, w ubiegłym roku zgłoszono nieco ponad 30 tysięcy przypadków oszustw internetowych. Osobno prowadzone są statystyki wszystkich przestępstw związanych z oszustwami. Obejmują one między innymi wyłudzenia świadczeń socjalnych, phishing, fałszywe SMS-y, wiadomości na WhatsAppie czy oszukańcze telefony. Tych przypadków było około 60 tysięcy.

Anna Wallner: Można jednak przypuszczać, że rzeczywista liczba jest znacznie większa. Wiele osób przecież w ogóle nie zgłasza takich przestępstw – często ze wstydu.

Theresa Wirth: Dokładnie. Te liczby mogą wydawać się stosunkowo niewielkie właśnie dlatego, że ogromna część poszkodowanych nigdy nie zgłasza sprawy na policję.

Anna Wallner: A jak wygląda sytuacja w skali całej Unii Europejskiej?

Theresa Wirth: Tutaj również trudno o pełne dane. Nie znalazłam oficjalnych statystyk obejmujących całą Unię, prawdopodobnie właśnie dlatego, że mówimy o niezwykle szerokim i zróżnicowanym zjawisku. Natomiast Global Anti-Scam Alliance opublikował raport, z którego wynika, że

To ogromna kwota. Organizacja przeprowadziła również badanie, z którego wynika, że trzy czwarte Europejczyków zetknęło się w ubiegłym roku z próbą oszustwa. Oczywiście nie wszyscy dali się nabrać, ale pokazuje to skalę problemu.

Anna Wallner: Czy można wskazać kraje, które są szczególnie narażone?

Theresa Wirth: Powiedziałabym, że dotyczy to właściwie wszystkich państw. Najbardziej dotknięte są jednak bogatsze kraje Europy Zachodniej – przede wszystkim Francja, Niemcy, Holandia i Hiszpania, gdzie straty finansowe są bardzo wysokie. Podobnie jest w Wielkiej Brytanii, która co prawda nie należy już do Unii Europejskiej, ale tam również co roku odnotowuje się ogromne straty spowodowane działalnością oszustów.

Anna Wallner: Przy okazji naszego cyklu publikacji poświęconych temu tematowi – skupiających się na Austrii, ale także Niemczech i całej Unii Europejskiej – rozmawiałaś z człowiekiem, którego nazwaliśmy „łowcą milionowych oszustów Europy”. Kim on właściwie jest?

Theresa Wirth: To Nino Goldbeck, starszy prokurator z Bambergu w Bawarii. Pracuje w bawarskiej Centralnej Jednostce do Walki z Cyberprzestępczością i specjalizuje się właśnie w ściganiu tego rodzaju przestępstw. Przede wszystkim zajmuje się wielkimi oszustwami inwestycyjnymi, bo – warto to podkreślić – właśnie tam przestępcy zarabiają największe pieniądze.

To ten segment cyberprzestępczości odpowiada również za najwyższe straty finansowe w Austrii.

Anna Wallner: Czyli mówimy na przykład o sytuacjach, w których podczas dużych transakcji między firmami przestępcy próbują przechwycić przelew i przekierować pieniądze na własne konto? Nie chodzi już o pięć, dziesięć czy trzydzieści tysięcy euro należące do osoby prywatnej, ale o miliony, a czasem nawet miliardy.

Theresa Wirth: Tak, choć warto dodać, że także osoby prywatne tracą ogromne pieniądze. Mówimy przede wszystkim o oszustwach inwestycyjnych. Ludzie wierzą, że inwestują w atrakcyjny produkt finansowy, ufają rzekomym ekspertom i dają się skusić obietnicom wysokich zysków.

Wpłacają kolejne kwoty, aż w końcu tracą naprawdę ogromne sumy. W Austrii odnotowano na przykład przypadek osoby, która w wyniku fałszywej inwestycji w kryptowaluty straciła 11 milionów euro.

Anna Wallner: Myślę, że większość z nas zna podobne historie – z rodziny albo grona znajomych. Jedni stracili mniej, inni więcej. Towarzyszy temu poczucie bezradności.

Przestępcy działają anonimowo w internecie, znikają równie szybko, jak się pojawiają. To zupełnie co innego niż klasyczny kieszonkowiec, który kiedyś ukradł komuś portfel w metrze. Jego przynajmniej istniała szansa złapać.

Jak więc ściga się takich cyberprzestępców?

Theresa Wirth: O to zapytałam Nino Goldbecka. Powiedział, że na początku każde śledztwo przypomina przedzieranie się przez gęstą dżunglę. Każda sprawa zgłoszona w Bawarii trafia na jego biurko i ustalenie, kto naprawdę stoi za oszustwem, wymaga ogromnej pracy.

Kluczowe jest systematyczne analizowanie wszystkich zgłoszeń i szukanie punktów wspólnych. Czy powtarza się ten sam numer rachunku? Ten sam numer telefonu? Te same dane kontaktowe? Jeśli uda się znaleźć takie powiązania, z czasem zaczyna wyłaniać się szerszy obraz. Poszczególne oszustwa okazują się elementami tej samej siatki przestępczej.

Równie ważna jest współpraca międzynarodowa. Kiedy śledczy zorientowali się, że podobne przypadki występują nie tylko w Niemczech, ale również w Austrii i wielu innych krajach Europy, zaczęli wymieniać informacje z partnerami z innych państw. To trwało latami – takich spraw nie rozwiązuje się z dnia na dzień.

Anna Wallner: Dziś wiemy już także, że za wieloma tego typu oszustwami stoją ogromne centra telefoniczne. Setki pracowników siedzą tam przed komputerami i przez cały dzień kontaktują się z potencjalnymi ofiarami. To właśnie w tym miejscu internetowe oszustwo spotyka się z realnym światem.

Jak wygląda rozbicie takiego centrum? Jak śledczy je lokalizują i przeprowadzają nalot, tak jak miało to miejsce niedawno?

Theresa Wirth: Sposobów jest kilka. Śledczy podążają przede wszystkim za tak zwanymi śladami technicznymi. Mogą to być głosy rozmówców, konkretne osoby wykonujące telefony, adresy IP czy adresy e-mail.

Czasami analizują także nazwiska, choć zazwyczaj są one fałszywe. Drugą drogą jest podążanie śladem pieniędzy. Analizują numery rachunków bankowych, firmy, na które trafiają przelewy, ich właścicieli oraz powiązania między nimi.

Jeśli mają szczęście, wszystkie te elementy zaczynają się ze sobą łączyć i pozwalają ustalić lokalizację centrum oszustów. Warto też podkreślić skalę tego procederu. Mówimy nie o kilkunastu pracownikach, ale czasem nawet o 600 osobach, które przez całą dobę dzwonią do ludzi, obiecując szybkie i ogromne zyski z inwestycji.

Anna Wallner: Wróćmy do Nino Goldbecka i do bardzo konkretnej sprawy – siatki oszustów znanej jako Milton Group. Na czym polegała ta historia? Kim byli ci ludzie?

Theresa Wirth: To była naprawdę ogromna organizacja przestępcza. Milton Group to tylko jedna z nazw, pod którymi działała. W rzeczywistości posługiwali się około 150 różnymi markami – fikcyjnymi firmami i platformami inwestycyjnymi, za pomocą których oszukiwali ludzi w całej Europie.

Anna Wallner: Najbardziej zaskoczyło mnie to, że jedna z platform należących do tej siatki była nawet sponsorem hiszpańskiego klubu piłkarskiego Sevilla FC. To pokazuje, jak skutecznie potrafili budować wizerunek wiarygodnej firmy.

Theresa Wirth: I to nie był odosobniony przypadek. Mówimy o stratach liczonych w miliardach euro. Tysiące ludzi inwestowało setki albo tysiące euro, przekonanych, że lokują pieniądze w legalne przedsięwzięcia. Dopiero kiedy ich środki znikały, zaczynali rozumieć, że padli ofiarą oszustwa. Ale dojście do tego momentu często zajmowało bardzo dużo czasu.

Anna Wallner: Ta sprawa jest jednak wyjątkowa z jeszcze jednego powodu. Śledczym udało się dotrzeć do jednej z osób odpowiedzialnych za kierowanie całym procederem.

Theresa Wirth: Tak. I to naprawdę należało do rzadkości. Zwykle organizatorzy takich siatek bardzo skutecznie się ukrywają albo przebywają w krajach, do których trudno dotrzeć.

W tym przypadku udało się jednak postawić przed sądem obywatela Gruzji i Izraela. Śledczy udowodnili, że stworzył centra oszustw działające w Albanii. Co więcej, opracował także specjalne oprogramowanie ułatwiające prowadzenie takich wyłudzeń. Sprzedawał je innym grupom przestępczym i na tym również zarabiał ogromne pieniądze.

Anna Wallner: Mówimy o Mikaelu B. Jak zakończył się jego proces?

Theresa Wirth: Został skazany. Przyznał się przynajmniej do części zarzutów i obecnie odbywa karę więzienia. Co ciekawe, śledczy stosunkowo wcześnie trafili na jego trop. Przeszukano nawet jego mieszkanie podczas jednej z dużych, skoordynowanych akcji. Nie udało się jednak wtedy go zatrzymać, ponieważ przebywał w Gruzji. A zagraniczni śledczy ani niemiecka policja nie mogą po prostu aresztować obywatela Gruzji na jej terytorium.

Później jednak Mikael B. wyjechał do Armenii. A ponieważ Armenia ma z Niemcami umowę ekstradycyjną, możliwe było jego zatrzymanie i przekazanie niemieckiemu wymiarowi sprawiedliwości.

Anna Wallner: Gdzie najczęściej powstają takie centra oszustów?

Theresa Wirth: Jeśli mówimy o Europie, przede wszystkim w Europie Wschodniej i Południowo-Wschodniej. Na przykład w Albanii, Gruzji czy Ukrainie.

Anna Wallner: Czyli głównie na południowym wschodzie Europy.

Theresa Wirth: Tak. Ale trzeba pamiętać, że to problem globalny. Ogromnym zagłębiem tego rodzaju działalności jest również Azja Południowo-Wschodnia. Tam również funkcjonuje cały przemysł oparty na internetowych oszustwach.

Anna Wallner: Co właściwie dzieje się w takich centrach oszustów? Mniej więcej potrafimy to sobie wyobrazić – mnóstwo telefonów, kontakt z ludźmi przez różne kanały cyfrowe. Ale jak wygląda taka organizacja od środka?

Theresa Wirth: To działa bardzo profesjonalnie. Tak przynajmniej opisywał to niemiecki prokurator, z którym rozmawiałam. Nowi pracownicy przechodzą normalny proces wdrożenia.

Na najniższym szczeblu znajdują się osoby, których zadaniem jest pierwszy kontakt z potencjalnymi ofiarami. Dzwonią do nich, przedstawiają się i opowiadają o rzekomo atrakcyjnej inwestycji. Zbierają podstawowe informacje i zachęcają do wpłacenia niewielkiej kwoty na początek.

Chodzi o to, żeby próg wejścia był jak najniższy i nie wzbudzał podejrzeń.

Siedzą tam osoby podające się za ekspertów finansowych. Przekonują, że potrafią pomnożyć zainwestowane środki, pokazują rzekome zyski i namawiają do wpłacania coraz większych kwot. Oczywiście wszystko jest fikcją.

Zapytałam Nino Goldbecka, czy ludzie pracujący w takich centrach zdają sobie sprawę, że uczestniczą w przestępstwie. Odpowiedział, że na samym początku niekoniecznie. Osoby wykonujące pierwsze telefony mogą nawet nie wiedzieć, jaki jest prawdziwy cel całej operacji.

Ale później wygląda to już inaczej.

Anna Wallner: Czyli kiedy ofiara trafia do kolejnego etapu?

Theresa Wirth: Tak. Przepraszam, wcześniej pomyliłam nazwy poszczególnych etapów. Pierwszy to tzw. konwersja, czyli pozyskanie klienta. Drugi to retencja – etap, na którym ofiara jest przekonywana do wpłacania coraz większych pieniędzy. To właśnie wtedy pracownicy podszywają się pod doradców finansowych. Przedstawiają się fałszywymi nazwiskami. Twierdzą, że pracują na przykład w Wiedniu, choć w rzeczywistości siedzą w biurze w Tiranie, w Albanii. Na tym etapie wszyscy doskonale wiedzą już, że uczestniczą w oszustwie.

I bardzo dobrze na tym zarabiają. Jak mówił Goldbeck, trudno byłoby znaleźć legalną pracę w Albanii, która dawałaby podobne dochody. Najlepsi pracownicy takich centrów potrafią zarabiać nawet 40–50 tysięcy dolarów miesięcznie.

Anna Wallner: Czy mówił również o tym, jak sztuczna inteligencja wpłynęła na rozwój tego procederu? Mam wrażenie, że dziś jest to znacznie łatwiejsze. Tłumaczenia są niemal perfekcyjne, można podszywać się pod ludzi przy użyciu wygenerowanego głosu, a przygotowanie wiadomości w różnych językach przestało być problemem.

Theresa Wirth: Nie mówił o tym wprost, ale ten wątek często pojawiał się podczas moich rozmów z innymi ekspertami. Wszyscy podkreślali, że sztuczna inteligencja wyniosła internetowe oszustwa na zupełnie nowy poziom. Przede wszystkim dlatego, że dziś wiadomości są napisane praktycznie bezbłędnie.

Coraz bardziej przekonujące są także fałszywe platformy inwestycyjne.

Do tego dochodzą wygenerowane przez AI filmy z udziałem znanych osób, które rzekomo polecają określone inwestycje. O takich przypadkach słyszymy dziś właściwie bez przerwy.

Anna Wallner: Na przykład z Arminem Wolfem, prowadzącym program ZiB 2 w austriackiej telewizji ORF. Głośno było o przypadku, gdy jego wizerunek wykorzystano w fałszywych reklamach inwestycyjnych.

Theresa Wirth: Dokładnie. Bardzo często wykorzystywani są również influencerzy i inne znane osoby. Ich wizerunek ma uwiarygodnić oszustwo i przekonać ludzi, że dana inwestycja jest bezpieczna.

Anna Wallner: Jak oceniasz obecną sytuację? Czy Unia Europejska jest dziś wystarczająco dobrze przygotowana do walki z tego rodzaju przestępczością?

Theresa Wirth: Wiele się dzieje. Współpraca międzynarodowa, zwłaszcza za pośrednictwem Europolu, naprawdę funkcjonuje. Sprawa, którą śledziłam, jest tego dobrym przykładem. Zaangażowanych było w nią dziesięć państw, a skoordynowane naloty przeprowadzono jednocześnie w pięciu krajach. To pokazuje, że taka współpraca jest możliwa. Trzeba jednak pamiętać, że powodzenie takich operacji zależy również od władz poszczególnych państw.

W niektórych krajach problemem są powiązania przestępców z lokalnymi elitami politycznymi czy korupcja, która może utrudniać śledztwa i zapewniać sprawcom ochronę. Niemieccy śledczy podkreślają jednak, że mimo tych trudności współpraca w większości przypadków ostatecznie działa. Może nie zawsze przebiega dokładnie tak, jak zaplanowano, ale przynosi efekty.

Jednocześnie trzeba jasno powiedzieć, że organy ścigania są cały czas o krok za przestępcami. W sprawie, którą analizowałam, pierwsze oszustwa miały miejsce już w latach 2016-2017. Naloty przeprowadzono dopiero w 2022 roku. Pierwsze poważne wyroki zapadły dopiero w tym roku – niemal dziesięć lat później. A przecież to dopiero początek. Postępowania będą trwały jeszcze przez wiele lat.

Nino Goldbeck powiedział mi coś, co bardzo dobrze oddaje charakter tej walki.

Anna Wallner: Trochę jak Hydra z mitologii. Odcina się jedną głowę, a na jej miejscu wyrastają następne.

Theresa Wirth: Dokładnie. Bo to po prostu niezwykle dochodowy biznes.

Anna Wallner: To nie brzmi szczególnie optymistycznie. Jedno centrum oszustów zostaje zamknięte, a chwilę później powstaje następne. Skoro ten proceder przynosi tak ogromne zyski, tym ważniejsze staje się skuteczne działanie instytucji odpowiedzialnych za koordynację walki z przestępczością transgraniczną.

W Unii Europejskiej kluczową rolę odgrywa w tym Europol. Nasza kolejna rozmówczyni, Frida Thurm z redakcji CORRECTIV.Europe, przez wiele miesięcy wspólnie z partnerami z Wielkiej Brytanii i Grecji badała, w jaki sposób Europol przetwarza poufne dane za kulisami swojej działalności. Wyniki tego śledztwa rzucają nowe światło na pytanie, czy Unia Europejska rzeczywiście dysponuje narzędziami pozwalającymi skutecznie walczyć z międzynarodowymi sieciami oszustów.

Frida Thurm: Nazywam się Frida Thurm i jestem starszą reporterką w redakcji CORRECTIV.Europe w Niemczech. W naszym śledztwie udało nam się wykazać, że Europejska Agencja Policji, czyli Europol, stworzyła równoległy, nieoficjalny system informatyczny – tzw. shadow IT.

Dochodzenie prowadziliśmy wspólnie z brytyjskim Computer Weekly oraz grecką redakcją Solomon. Określenia shadow IT używali byli pracownicy Europolu, którzy opowiedzieli nam o tym systemie. Chodzi o środowisko informatyczne działające równolegle do oficjalnych systemów Europolu.

To właśnie tam przetwarzano dane osobowe z pominięciem zasad ochrony danych i bezpieczeństwa informatycznego. Żeby zrozumieć skalę problemu, warto przypomnieć, czym właściwie zajmuje się Europol. To nie jest policja, która sama prowadzi śledztwa i dokonuje zatrzymań.

Siedziba Europolu znajduje się w Hadze, skąd agencja wspiera organy ścigania państw członkowskich Unii Europejskiej, zwłaszcza w sprawach dotyczących poważnej przestępczości transgranicznej – terroryzmu czy przestępczości zorganizowanej. Do Europolu trafiają więc ogromne ilości informacji przekazywanych przez krajowe służby, na przykład niemiecki Federalny Urząd Kryminalny czy policję innych państw członkowskich. Państwa nie tylko przesyłają dane, ale otrzymują z powrotem wyniki analiz przygotowanych przez Europol.

Można więc powiedzieć, że Europol pełni funkcję europejskiego centrum wymiany informacji. A dane, które tam trafiają, są często niezwykle wrażliwe. To między innymi dane osobowe, dokumenty tożsamości, zdjęcia czy wykazy połączeń telefonicznych.

Europol ma prawo przetwarzać takie informacje, ale jednocześnie jest zobowiązany robić to z najwyższą starannością. Na przykład szybko usuwać dane osób, które nie mają żadnego związku z prowadzonymi postępowaniami. Jak pokazuje nasze śledztwo, właśnie tego nie robiono.

A to dopiero początek problemów. Po zamachach terrorystycznych w Paryżu w 2015 roku państwa członkowskie zaczęły przekazywać Europolowi coraz większe ilości danych. Wówczas wydano specjalną zgodę, która pozwalała przetwarzać je w środowisku przeznaczonym pierwotnie wyłącznie do ich wstępnego sortowania.

Była to sieć Computer Forensic Network, w skrócie CFN. Założenie było zrozumiałe. Chodziło o jak najszybsze przeanalizowanie ogromnych zbiorów danych, aby pomóc w wyjaśnieniu zamachów i zapobiec kolejnym atakom.

Nasze śledztwo pokazuje jednak, że to rozwiązanie nie pozostało tymczasowym wyjątkiem. Z czasem CFN stał się podstawowym środowiskiem, w którym prowadzono właściwą analizę danych. Łączono informacje o osobach, miejscach i wydarzeniach, zanim jeszcze sprawdzono, które dane Europol ma prawo przechowywać, a które powinny zostać usunięte.

Potwierdza to wewnętrzny raport, do którego dotarliśmy. W 2019 roku aż 99 procent danych operacyjnych Europolu znajdowało się właśnie w systemie CFN. A przecież był to system, który miał służyć jedynie jako etap pośredni w przetwarzaniu informacji.

Jeden z byłych pracowników Europolu powiedział nam: „Równoległy system pozbawiony odpowiednich zabezpieczeń jest po prostu tańszy i szybszy. Ale jednocześnie wszystko zależy od osoby siedzącej przed monitorem”. Oznaczało to, że dostęp do wyjątkowo wrażliwych danych oraz sposób ich wykorzystywania pozostawiano w dużej mierze uznaniu poszczególnych pracowników. I właśnie to stanowiło ogromny problem.

W tych ogromnych zbiorach znajdowały się bowiem dane wielu osób, które nie miały żadnego związku z przestępstwami. Mogły to być choćby wykazy połączeń telefonicznych ludzi, którzy przypadkiem znaleźli się w pobliżu miejsca zamachu. Ich dane mogły następnie trafić do analiz odsyłanych przez Europol z powrotem do państw członkowskich.

A to może mieć poważne konsekwencje praktycznie dla każdego aspektu życia takich osób. Na to zagrożenie od lat zwraca uwagę również Europejski Inspektor Ochrony Danych.

Nie tylko byli pracownicy Europolu zdecydowali się z nami porozmawiać. Dotarliśmy również do raportów przygotowanych przez wewnętrzną grupę zadaniową Europolu. Dokumenty te nigdy wcześniej nie zostały opublikowane – uzyskaliśmy je dzięki wnioskowi o dostęp do informacji publicznej.

Pokazują one, w jakich warunkach funkcjonował ten nieoficjalny system. A problemy były bardzo poważne. W systemie brakowało odpowiednich mechanizmów bezpieczeństwa.

Nie prowadzono rzetelnych rejestrów pokazujących, co robili użytkownicy ani jakie działania podejmowali administratorzy. W praktyce oznaczało to, że nie dało się ustalić, kto uzyskiwał dostęp do danych, ani czy ktoś je zmieniał lub usuwał. Łatwo więc zrozumieć, dlaczego jeden z naszych rozmówców nazwał ten system po prostu „czarną dziurą”.

Wewnętrzna grupa zadaniowa doszła do wniosku, że jedynym sposobem rozwiązania problemu byłoby całkowite porzucenie tego systemu i zbudowanie go od podstaw. Tak się jednak nie stało. Podejmowano próby ograniczenia skali problemu.

Europejski Inspektor Ochrony Danych przyznaje, że część kwestii udało się poprawić. Jednak do dziś nierozwiązanych pozostaje 15 spośród 150 zidentyfikowanych problemów. To jednak nie wszystko.

Znaleźliśmy jednoznaczne dowody – również w formie dokumentów – że CFN nie był jedynym nieuregulowanym systemem wykorzystywanym przez Europol. Dlatego określenie shadow IT, którego używają sami pracownicy agencji, wydaje się w pełni uzasadnione. Parlament Europejski już od 2020 roku wiedział, że Europol ma poważne problemy z ochroną danych.

Wtedy właśnie Europejski Inspektor Ochrony Danych skrytykował agencję za przechowywanie ogromnych, nieskategoryzowanych zbiorów informacji. Z tego, co udało nam się ustalić, europosłowie nigdy jednak nie zostali poinformowani, że 99 procent danych operacyjnych Europolu znajdowało się w systemie CFN. Opinia publiczna również nie miała o tym pojęcia.

Nie wiedziała też o skali problemów związanych z bezpieczeństwem tego systemu. Nasze śledztwo ujawniło jeszcze jedną nową informację. Okazało się, że praktyki te były kontynuowane nawet po częściowym przyznaniu się Europolu do problemów z przetwarzaniem danych.

W dokumentach, do których dotarliśmy, pracownicy działu IT oraz jednostki operacyjnej Europolu wymieniają wiadomości dotyczące narzędzia o nazwie Pressure Cooker. Z korespondencji jasno wynika, że nie był to oficjalny system. Europol utrzymuje wprawdzie, że była to jedynie nieformalna nazwa jednego z legalnie działających narzędzi.

Ta wersja wydarzeń zupełnie nie zgadza się jednak ani z relacjami naszych informatorów, ani z treścią e-maili, które przeanalizowaliśmy. Według osób pracujących wcześniej w Europolu Pressure Cooker był kolejnym elementem nieoficjalnej infrastruktury informatycznej służącej do analizy wrażliwych danych. Na przykład w 2022 roku jeden z pracowników działu IT ostrzegał w wewnętrznej wiadomości, że Europejski Inspektor Ochrony Danych może wkrótce dowiedzieć się o – cytuję – „nieprawidłowej sytuacji związanej z Pressure Cooker”.

Pisał również, że jego dział od dawna zwracał uwagę na ten problem. To pokazuje bardzo wyraźnie, że istniał system, którego istnienie przez lata ukrywano przed organem odpowiedzialnym za nadzór nad ochroną danych osobowych.

Europejski Inspektor Ochrony Danych zareagował na wyniki naszego śledztwa z dużym zainteresowaniem. Już dwa dni po publikacji sprawa tzw. shadow IT stała się tematem posiedzenia Komisji Wolności Obywatelskich Parlamentu Europejskiego.

Inspektor potwierdził tam, że nasze ustalenia wykraczają poza informacje, którymi wcześniej dysponował, i zapowiedział wszczęcie dalszych działań wyjaśniających. Europosłanka Saskia Bricmont z grupy Zielonych powiedziała: „Te ustalenia są szokujące – zwłaszcza po tylu latach nadzoru i deklaracji o przestrzeganiu zasad ochrony danych oraz praw podstawowych”.

Z kolei europosłanka Birgit Sippel z frakcji Socjalistów i Demokratów oceniła, że: „Shadow IT podważa zaufanie do wiarygodności materiału dowodowego oraz do praworządności działań europejskich organów ścigania”. Dodała również: „Zanim w ogóle zaczniemy dyskusję o rozszerzeniu kompetencji Europolu, potrzebujemy rzeczywistego nadzoru parlamentarnego i pełnego wyjaśnienia wszystkiego, co do tej pory pozostawało ukryte”.

Jeden z byłych pracowników Europolu powiedział nam, że narzędzie, które agencja niedawno zaprezentowała Europejskiemu Inspektorowi Ochrony Danych jako nowy system, w rzeczywistości wcale nie jest nowe. Jego zdaniem to jedynie próba zalegalizowania po fakcie systemu Pressure Cooker. Gdyby okazało się to prawdą, oznaczałoby to, że nadal pozostaje on w użyciu.

Europol stanowczo temu zaprzecza. Jednak nawet gdyby był to dopiero projekt nowego narzędzia, Europejski Inspektor Ochrony Danych ostrzega, że niesie ono ze sobą ogromne ryzyko stworzenia kolejnej równoległej infrastruktury informatycznej. Napisał o tym w swojej oficjalnej opinii.

Można więc powiedzieć, że problem wciąż pozostaje nierozwiązany. A dzieje się to w momencie, gdy Komisja Europejska planuje podwoić budżet oraz liczbę pracowników Europolu. Tymczasem zespół prawników zajmujących się ochroną praw człowieka złożył do Europejskiego Inspektora Ochrony Danych skargę w imieniu trzech osób, które podejrzewają, że ich dane znalazły się właśnie w tym nieoficjalnym systemie.

Jak argumentują prawnicy organizacji NOYB, skutkiem działania tego systemu było bezpodstawne stygmatyzowanie i zastraszanie obywateli. Domagają się natychmiastowego zamknięcia całej infrastruktury shadow IT. Europejski Inspektor Ochrony Danych ma teraz trzy miesiące na rozpatrzenie tej skargi.

Jeśli w tym czasie nie nakaże zaprzestania przetwarzania danych w równoległych systemach informatycznych, pełnomocnicy zapowiedzieli skierowanie sprawy do Trybunału Sprawiedliwości Unii Europejskiej. Mają już doświadczenie w podobnych postępowaniach — wcześniej z powodzeniem doprowadzili przed TSUE do rozstrzygnięcia sprawy przeciwko Frontexowi.

Anna Wallner: Tyle o śledztwie CORRECTIV.Europe dotyczącym nieoficjalnego systemu informatycznego Europolu. Pokazuje ono, że nawet instytucja odpowiedzialna za koordynację walki z przestępczością transgraniczną – w tym z międzynarodowymi sieciami oszustów – sama zmaga się z poważnymi problemami.

Na zakończenie chciałabym jeszcze wrócić do pytania, od którego zaczęliśmy. Jak to możliwe, że rodzice czy dziadkowie w ciągu zaledwie kilku minut przelewają tysiące euro na konto zupełnie obcej osoby? Jak sprawcy potrafią oszukać nawet ostrożnych ludzi, którzy dobrze orientują się w nowych technologiach i zwykle potrafią rozpoznać zagrożenie?

W redakcji Die Presse przygotowaliśmy interaktywną symulację, która pozwala spojrzeć na takie oszustwo z zupełnie innej perspektywy. Tym razem to użytkownik wciela się w rolę oszusta. Niestety gra jest obecnie dostępna wyłącznie po niemiecku, ale jeśli znacie ten język, naprawdę warto ją wypróbować.

Można w niej wybierać kolejne wiadomości wysyłane do ofiary i krok po kroku zobaczyć, jak budowane jest klasyczne oszustwo typu „Cześć mamo, mam nowy numer”, od którego rozpoczęliśmy ten odcinek. Wszystkie wiadomości wysyłane przez oszusta oraz odpowiedzi ofiary opierają się na autentycznych rozmowach. Część z nich została opublikowana w internecie, inne udostępnił nam wydział do walki z oszustwami austriackiego Federalnego Urzędu Kryminalnego.

Oczywiście wszystkie imiona zostały zmienione. W trakcie symulacji pojawiają się również wyjaśnienia pokazujące, jaką technikę manipulacji zastosowano w danym momencie i dlaczego okazuje się ona tak skuteczna. Scenariusz może zakończyć się na kilka różnych sposobów.

Nie każda decyzja prowadzi do sukcesu oszusta. Link do tej symulacji znajdziecie również w opisie odcinka. Zachęcam do wypróbowania.

To był ósmy odcinek podcastu LensEU, przygotowany przez redakcję Die Presse. Dziękuję Lilith Grull i Fridzie Thurm z CORRECTIV.Europe w Niemczech za udział w tym odcinku. Serdeczne podziękowania kieruję także do moich kolegów z wiedeńskiej redakcji Die Presse – Christopha Zottera, Katrin Nussmayr i Theresy Wirth.

Więcej na temat internetowych oszustw przeczytacie w naszym piątkowym newsletterze, który przygotowała Tina Stani. Jej również bardzo dziękuję. Jeżeli podobał Wam się ten odcinek, polećcie go innym.

A jeśli interesują Was tematy, którymi zajmuje się LensEU, zaglądajcie regularnie na nasz kanał. Za tydzień usłyszycie dziewiąty odcinek przygotowany przez naszych partnerów z OKO.press w Polsce. Tydzień później gospodarzem będzie łotewski TVNET, a następnie zrobimy krótką letnią przerwę.

Do nowych odcinków i newsletterów wrócimy we wrześniu. Nazywam się Anna Wallner. Dziękuję, że byliście z nami.

Do usłyszenia w kolejnym odcinku.

A jeśli wolisz czytać niż słuchać, zasubskrybuj nasz newsletter LensEU. Znajdziesz w nim informacje na tematy europejskie z pięciu krajów biorących udział w projekcie.