Какво се крие зад случая "Наталия": много банална история или разузнавателна операция?

Телефонният бот, наричащ се Наталия, продължава да се обажда на стотици хора и да ги пита "Вие сте от София, нали?". Става дума за схемата, за която се разбра преди дни, след като граждани от цялата страна, а и българи в чужбина, установиха, че женски глас търси по телефона информация за местоположението им под предлог, че се обажда, за да се уточнят детайли за предполагаема покупка.

Случаят "Наталия" вече се проверява от Главната дирекция борба с организираната престъпност (ГДБОП) към МВР, съобщи Сега. Проверката обаче още не означава разследване на евентуално престъпление, защото засега полицията няма данни за това.

Проверка по случая се извършва и от Комисията за регулиране на съобщенията (КРС). Мобилният оператор А1, от чиито номера се обажда Наталия, съобщиха пред Свободна Европа, че оказват пълно съдействие на КРС.

От А1 потвърдиха, че “обаждания се извършват от наш бизнес клиент, на когото предоставяме стандартна гласова услуга с фиксирани и мобилни номера”. От оператора също извършват “задълбочена вътрешна проверка”.

Версиите каква точно е целта на акцията на бота Наталия, се множат. Някои от експертите, с които Свободна Европа разговаря, смятат, че става въпрос за валидиране на списък с телефонни номера и свързването им с местоположение. Други предупреждават, че може да става дума за нещо по-сериозно - например разузнавателна операция за създаване на база данни с аудиограми, т.е. записване на гласовете на хората, което след това може да се използва по много начини.

От Комисията за защита на личните данни (КЗЛД) все още не виждат нарушение на Закона за защитата на лични данни, но според юристи може да се говори за такова, както и за нарушение на европейския регламент GDPR.

Какво точно се случва

Стотици хора съобщават в социалните мрежи, че са получили позвъняване от мобилни номера на оператора А1. Насреща е женски глас, представящ се за Наталия. Разговорът обикновено започва така: "Здравейте, казвам се Наталия и се обаждам във връзка с вашата покупка. Бих искала да получа вашата оценка. Само да уточним, вие сте от София, нали?".

Бързо се разбира, че Наталия не е човек, а телефонен бот. При опит за уточняващи въпроси, тя повторно се интересува "в кой град сте". След това Наталия се извинява, казва, че е станала грешка и връзката прекъсва.

Телефоните, от които се звъни, са десетки. Чрез социалните мрежи Свободна Европа се сдоби с около 70 номера, от които е звъняла Наталия. Те най-често започват с цифрите 0883 27 или 0884 33. От А1 потвърдиха пред Свободна Европа, че “обаждания се извършват от наш бизнес клиент, на когото предоставяме стандартна гласова услуга с фиксирани и мобилни номера". Казаха, че извършват вътрешна проверка и съдействат на КРС, която също работи по случая.

По неофициална информация се използват телефонни номера и от друг български оператор. Първоначалната версия е, че зад Наталия стои колцентър, а целта е установяване на местоположение на мобилните номера и притежателите им, получаващи обаждане.

Хората се предупреждават взаимно за случващото се в социалните мрежи. Институциите първоначално подходиха пасивно по темата, но вече и от ГДБОП, и от КРС, и от КЗЛД казват, се проверяват случая.

Версия "разузнавателна операция"

Бивш висш офицер от армията, пожелал анонимност, каза пред Свободна Европа, че според него става въпрос за разузнавателна операция и ботът записва гласовете на хората, на които се обажда. Ако това е така, то хората зад бота могат да направят каталог с аудиограми с говора на потърпевши от Наталия.

“Това (аудиограмата) е нещо много характерно, като снимка. Всеки един човек има собствена аудиограма”, каза той. Даде пример със Сири (софтуерен интелигентен гласов асистент, разработен от Apple Inc), който разпознава хората, които говорят с него. С аудиограма в цифров формат човек може да бъде търсен по гласа в цялата тази база данни. Дали този каталог ще бъде за търговски или военни цели е въпрос на това кой го прави и кой би го купил.

“Ако го прави чужда държава с подставено лице, ще може да се разбере телефонния номер чрез анализ на гласа му, записан в пряк разговор, или ако говори по телевизия или радио. Така на този човек може да му се направи профил, да бъде намерен лесно или да бъде атакуван с говор, локация или sms-и”, каза бившият офицер.

Той разказа, че при инвазията на Русия в Грузия (2008 г) от руското разузнаване на базата на такива аудиограми са успели да разпределят кой от командването на армията на кои телефони отговаря и залели тях и семействата им със съобщения с призиви да не участват във войната. Това се нарича психологическа операция.

Версия "проверка на валидни номера и локация"

По-скоро е проверка на валидни номера и евентуална локация на човек, отколкото нещо друго, каза по повод действията на Наталия д-р Георги Шарков, ръководител на Лабораторията по киберсигурност към „София тех парк“, бивш национален координатор по „Киберсигурност“.

За записването на глас и създаването на аудиограми Шарков каза пред Свободна Европа, че теоретично е възможно, но не се прави масово.

“Такова нещо се прави, когато има много таргетирана атака. Знаят на кого звънят, искат да го запишат и след това да имитират неговия глас, за да звънят на негови познати или нещо такова. Но това изисква големи ресурси. Не вярвам, според мен е много банална история”, каза Шарков.

Според него при извършената по този начин от Наталия проверка дали даден телефонен номер е валиден, “особенно ако човек не влиза в разговор и не каже дали е в София, няма нарушение”. Такива данни - валидни телефони, се използват за меркетинг.

“Освен локацията и валидността на номера, не виждам друго, което да е притеснително”, каза той.

Шарков не смята, че създателите на Наталия имат база, която съдържа номера и имена на притежателите им, която би могла да бъде допълнена и с местоживеене, “защото тогава ще направят много по-префинена и таргетирана атака да се представят и тогава човек може да се подлъже, за да извлекат данни и информация”.

Има достатъчно данни за проверка

Адвокат Емил Георгиев казва, че в случая има достатъчно изплували на публичната повърхност данни, че става дума за някакво много мащабно събиране и обработване на данни, което само по себе си да е достатъчно за Комисията за защита на личните данни да се сезира. Той каза, че в Закона за електронните съобщения има възможност операторите да разкрият информация във връзка с проверка на държавен орган и комисията може да направи проверка и без МВР.

Самият личен номер не представлява лични данни, тъй като сам по себе си не установява нечия самоличност, каза Георгиев. „Лични данни“ означава всяка информация, свързана с идентифицирано или идентифицируемо живо физическо лице. Отделни данни, които събрани заедно могат да доведат до идентифициране на конкретно лице, също представляват лични данни, според тълкувание на Европейската комисия.

Георгиев каза също, че очевидно става дума за обработка на лични данни, което попада под регулацията на закона.

Песимистичната ситуация

Юлия Пригонча, която е председател на Управителния съвет на Асоциацята за защита на личните данни, каза, че Наталия трябва да се разследва, защото не е ясно каква информация се събира от тези телефонни обаждания. Тя също смята, че е възможно да се записва глас и да става въпрос за “спууфинг” (това е измама, при която програма или човек се представят за друг, за да измъкнат лични данни).

Пригонча каза, че със сегашните технологии могат да се разиграят много сценарии. Един такъв сценарий е, че след като бъдат събрани “тези биометрични гласове”, съчетано с друга потенциална измама от последните дни - съобщения за изпратена пратка с линк към сайт, събиращ лични данни, може да се направи геолокация. След това “да се види кой друг живее наоколо и какви телефони има и утре твой близък да получи обаждане с твоя глас”. Но това е много песимистична ситуация, каза Пригонча.

Това не е единствената мащабна кампания, служеща си с измама за събиране на лични данни в последните дни. Пригонча говори за това, че много българи са получили SMS от френски номер, гласящ: "BgPost: Вашият пакет чака в нашия склад. Потвърдете адреса си и заплатете разходите за доставка, за да го получите". Следва линк. Сайтът зад него вече не е активен. Той представляваше лошо копие на сайта на "Български пощи" и се отваряше форма, в която получилият го трябваше сам да попълни личните си данни. Проверка на Свободна Европа през domaintools.com показа, че домейнът (името на сайта), е купен от канадска компания на 17 юни. Хостинг адресът му е в Москва. На същия адрес са хоствани още 20 сайта на различни езици, които изглежда са с подобно предназначение.

“Това е поредната индикация, че изоставаме спрямо технологиите. Какъвто и закон да има, ако потребителят не е информиран, няма да има ефект”, каза още Юлия Пригонча за това, че институциите не знаят как да реагират на случая Наталия.

“Ще изскочат друго неща с дийп фейк, ще става по-интересен животът”, каза и д-р Шарков.