Pędzisz ze spotkania na spotkanie, w locie wysyłasz umowy do klientów i dopinasz terminy z notariuszem – smartfon to Twoje centrum dowodzenia. Na co dzień nie uświadamiasz sobie, na ile zagrożeń się wystawiasz. To duży błąd. Dla cyberprzestępców pośrednik nieruchomości to cel idealny – ma dostęp do cennych danych i sporych pieniędzy, a pracuje pod presją czasu. Wystarczy chwila nieuwagi, by tak wiele stracić.

O tym, na jakie niebezpieczeństwa w internecie jest narażony pośrednik i czy ma on szansę wygrać w cyfrową rosyjską ruletkę, mówi Kamil Porembiński, ekspert w dziedzinie cyberbezpieczeństwa, który od dwudziestu lat pomaga małym i dużym firmom w ulepszaniu ich biznesu, dzięki technologii.

Kamil, czy przeciętny polski agent nieruchomości to dla cyberprzestępcy łatwy, bezbronny cel?

Trywialny. Praktycznie każdy agent nieruchomości posiada dostęp do cennych zasobów, co czyni go niezwykle atrakcyjnym kąskiem dla oszustów. Jednocześnie poziom edukacji w zakresie bezpieczeństwa sieci w takich branżach bywa znikomy, a rutyna i praca w pośpiechu prowadzą do otwierania podejrzanych linków czy instalowania fałszywych załączników. Cyberprzestępcy doskonale o tym wiedzą i chętnie atakują te zasoby, by puszczać scamerskie reklamy lub kraść bazy danych z leadami.

Z jakimi największymi mitami na temat bezpieczeństwa w sieci najczęściej spotykasz się w branży nieruchomości?

Ślepa wiara w to, że sam antywirus wystarczy, a codzienne korzystanie z prywatnego WhatsAppa jest bezpieczne do użytku firmowego, bo „przecież nic się nie stało”, to zwykła naiwność. Brak widocznych konsekwencji oznacza tylko tyle, że masz dotąd niesamowite szczęście w cyfrowej rosyjskiej ruletce. Kiedy słyszę powtarzane z uporem hasło, że przed każdym zagrożeniem w sieci automatycznie ochroni Cię dział IT, mam z tego po prostu potężną bekę.

Prawda jest taka, że to Ty, Twój brak minimalnej wiedzy i codzienna rutyna jesteście tu głównym problemem, a nie technologia. Nie da się obronić firmy przed błędami ludzi wyłącznie za pomocą systemów, zwłaszcza kiedy na szkoleniach i edukacji kadry zwyczajnie się oszczędza.

Zarówno antywirus, jak i IT nie chroni, kiedy bezmyślnie wysyłamy ważne dane przez prywatny komunikator, zostawiamy laptopa bez blokady w kawiarnii, czy mamy wszędzie proste hasła, bo inaczej ich nie pamiętamy.

Cofnijmy się do najgorszego scenariusza, jaki widziałeś na własne oczy – co się stało, gdy zabezpieczenia puściły (czy w ogóle były?), jak zareagował właściciel i ile kosztował powrót do normalności?

Zadzwoniła do mnie jego żona z dramatycznym pytaniem: „Co my możemy teraz zrobić?”. Chwilę wcześniej jej mąż próbował odebrać sobie życie. Przestępcy okradli go na 670 000 złotych, a potem bezczelnie szantażowali go, uderzając bezpośrednio w jego kontrahentów. Efekt? Przerażeni ludzie masowo złożyli pozwy o poniesione straty, a ten człowiek – przez zwykły brak podstawowej cyberedukacji – w jeden moment stracił absolutnie wszystko.

Widziałem w swojej pracy setki różnych incydentów, ale ten najdosadniej pokazuje, że cyberbezpieczeństwo to nie jest nudny temat techniczny, tylko kwestia przetrwania Twojego biznesu i życia. Sama wiedza i uświadomienie zespołu kosztują tyle, co przysłowiowa gaśnica do mieszkania – to zaledwie ułamek ceny, jaką trzeba ponieść, by uchronić swój dobytek przed nagłym pożarem.

Kiedy jednak dopuścisz do pożaru, powrót do samej pracy zajmuje średnio 3 miesiące, a pod kątem biznesowym i technologicznym firma automatycznie cofa się w rozwoju o kolejne 2–3 miesiące. Odrabianie strat finansowych i odbudowywanie zrujnowanego wizerunku to z kolei proces, który bezlitośnie wymaga wielu kolejnych lat ciężkiej pracy.

Wyobraźmy sobie sytuację, że agent loguje się do publicznego WiFi w kawiarni lub w pociągu, żeby szybko wysłać klientowi umowę pośrednictwa z jego danymi wrażliwymi. Co w tym momencie widzi sprytny haker, który siedzi dwa miejsca dalej?

Nic.

Po pierwsze hackera tam nie ma.

Po drugie łączenie się do publicznych WiFi jest OK. Nie było jakoś w 2015 roku.

Ale – jak sama widzisz – mit pozostał. To wiele mówi o naszej cyfrowej edukacji.

Ten przykład pokazuje też, że smartfon to mobilne biuro pośrednika. Jakie 3 największe grzechy bezpieczeństwa popełnia agent, pracując na telefonie wszędzie, wykorzystując czas między spotkaniami z klientami?

To, że ten telefon jest jednocześnie prywatny i służbowy oraz to, że dostęp do niego ma wiele osób. Żona, mąż, dzieci, bo bajkę oglądają. To przeczy bezpieczeństwu. Wiele wtop i cyberataków jest spowodowanych właśnie przez nieświadome osoby, które coś klikną, zainstalują i mleko się rozlało.

Idąc dalej, często te telefony nie mają żadnej kopii zapasowej.Ich zgubienie, zalanie czy po prostu awaria stają się awarią dla człowieka. Bo przecież pendrive na kopie zapasowe to ogromny koszt, co nie? Tak trudno zgrać sobie dane „w razie w” i trzymać je w szafie?

Wielu agentów ma spięte firmowe profile na Facebooku czy Instagramie z prywatnymi kontami, do których hasło nie było zmieniane od lat. W jaki sposób najczęściej dochodzi do przejęć kont w social mediach i dlaczego odzyskanie profilu nie jest wcale takie proste?

Inaczej się nie da. No może się da, ale jest parę haczyków. To, że hasło nie było zmieniane – nie jest złe. Hasło jest jak zamek. Zmieniasz zamki w domu co 30 dni? No nie. Z hasłem jest tak samo, ale widzisz… znowu wchodzą nam mity związane z bezpieczeństwem.

A jak dochodzi do ataków? Agent sam daje klucze do swojego Facebooka przestępcy lub ma takie samo hasło do innego serwisu, skąd akurat ono wyciekło.

Agenci korzystają dziś z AI do pisania ofert, maili czy analizy dokumentów. O czym zapominają, wklejając w okno czatu np. treść księgi wieczystej albo szczegóły umowy? Gdzie trafiają te dane, w jaki sposób wyciekają i do czego mogą posłużyć w przyszłości?

To jest pytanie, na które bym musiał napisać książkę. Jedna ważna zasada. Rzeczy poufnych nie wrzucamy do sieci, bo stają się publiczne. I tyle. Wrzucanie dokumentów, maili do AI to jak wrzucenie tego każdemu. Głupota.

Nawet w narzędzia z płatnymi, biznesowymi subskrypcjami, które nie trenują modeli na naszych danych i z umową powierzenia przetwarzania danych osobowych?

Nawet. Jeżeli czujesz się z tym lepiej, że jakiś magiczny przycisk coś zmienia – to OK. Ale to nie takie proste. Po pierwsze, mało który model w wersji płatnej nie korzysta z naszych danych. Większość dużych modeli językowych została wytrenowana na danych z internetu, zatem ich bazowa wiedza jest podobna. To, co je wyróżnia, to właśnie to, co wrzucimy do takiego modelu. Głupotą byłoby ze stron twórców tych aplikacji, rezygnować z danych… za te 20$ miesięcznie.

Wersje płatne bardzo często mają po prostu większe limity okna kontekstowego, ilości przetwarzania danych itp. Jeżeli nie chcemy, by duży model się na nas uczył, to musimy albo interesować się bardzo drogimi licencjami enterprise (i tam też są gwiazdki, kiedy nasze dane nie są nasze) lub stawiać lokalne modele.

Popularne stają się też narzędzia AI do automatycznej transkrypcji nagrań ze spotkań z klientami lub rozmów telefonicznych. Czy wrzucanie nagrania głosowego klienta do chmury AI bez jego wiedzy to już złamanie prawa i realne zagrożenie?

Samo nagranie bez jego zgody to łamanie prawa. Ja w życiu bym nie skorzystał z usług biura, co wrzuca moje nagrania do AI. Można to robić mądrze, wdrażając odpowiednie rozwiązania IT, szkoląc kadrę, ale wtedy okazuje się, że bez AI robimy to szybciej i taniej.

Rozwój technologii AI otwiera drogę do deepfake'ów. Czy widzisz już ryzyko, w którym przestępcy klonują głos agenta lub dewelopera, aby zadzwonić do klienta i wyłudzić od niego np. zadatek na mieszkanie? Jak się przed tym bronić na poziomie procedur w biurze?

Nie. Deepfake w takim scenariuszu jest zbędny. Serio, znasz głos swojego agenta albo stomatologa? No ja nie. Nie trzeba klonować głosu, by wykonać atak. Wystarczy wysłać maila i gotowe. Tanio i szybko.

A więc stało się. Agent kliknął w podejrzany link w tym mailu i stracił dostęp do poczty firmowej. Jaka jest pierwsza rzecz, którą powinien zrobić w 10 minut od zorientowania się, że doszło do ataku?

Nie ma jednej recepty na to. I to znowu trudny temat. Bo o ile to poczta firmowa i ma dział IT, to należy im to zgłosić i tyle. IT zajmie się tematem, zgłoszą do prawników wyciek danych i tak dalej. Gorzej, jak nie mamy IT i sami jesteśmy sobie IT – wtedy zaczyna się duży problem.

Bo nagle okaże się, że nawet nie wiemy, gdzie mamy serwer z pocztą, czy mamy kopie zapasowe, czy ten mail był wykorzystywany jako login do innych systemów, jakie i gdzie mamy hasła…

I najważniejsze… średnio o takim włamaniu na nasze cyfrowe zasoby orientujemy się po 253 dniach, więc 10 minut w tę czy we w tę nie robi różnicy.

Nie chcemy rezygnować z AI, bo przyspiesza pracę. Jak zatem korzystać z tych narzędzi w sposób bezpieczny? Jakie parametry prywatności włączyć lub jak anonimizować dane?

To jest bardzo trudny temat, nawet na poziomie tego, czy faktycznie AI przyspiesza pracę. Bo nawet tego dokładnie nie potrafimy zmierzyć. Może i wygenerowało ofertę szybciej, ale jej poprawianie zajęło nam dużo więcej czasu. Do tego anonimizacja danych przed wrzuceniem do AI, ustawienie narzędzi, polityki prywatności…

Sam dobór systemów do anonimizacji danych bywa trudny i skomplikowany.

Tego typu narzędzia mają sens w momencie, kiedy mamy 10 000 dokumentów do ogarnięcia na dobę i faktycznie automat przyspieszy pracę. W innym przypadku… rzucanie armaty na muchę.

Lepiej wykorzystać AI do tworzenia postów marketingowych, biuletynów, newsletterów oraz researchu. Tutaj świetnie sobie radzi. Do innych zadań wymagana jest naprawdę wiedza z IT.

Na koniec, gdybyś miał stworzyć żelazny, 3-punktowy kodeks cyberbezpieczeństwa, który każdy agent ma wdrożyć w swoim życiu od jutra, to jak brzmiałyby te zasady?

Cyberbezpieczeństwo to nie jest kolejna nudna rubryka w Excelu, którą można bezkarnie zignorować. Dzisiejszy cyfrowy świat nie wybacza amatorskiego podejścia do technologii, a cena za ignorancję bywa po prostu porażająca. Widziałem na własne oczy ludzkie dramaty i bankructwa firm spowodowane jednym, banalnym kliknięciem w fałszywy link.

Prawda jest taka, że najlepsze programy antywirusowe nie pomogą, jeśli zawiedzie nieświadomy i przemęczony pracownik. Dlatego podstawą przetrwania każdego nowoczesnego biznesu staje się regularna i cierpliwa edukacja całej kadry. Przestań w końcu naiwnie zakładać, że Twój Facebook czy biuro nieruchomości są zbyt małe, by stać się celem ataku. Cyberprzestępcy działają w sposób całkowicie zautomatyzowany i masowo szukają najprostszych dziur w systemach.

Odrabianie strat wizerunkowych oraz powrót do normalnego funkcjonowania po incydencie potrafi zająć wiele lat ciężkiej pracy. Zamiast grać w cyfrową rosyjską ruletkę, zacznij od zaraz wdrażać twarde zasady, takie jak unikalne hasła i obowiązkowe weryfikacje dwuskładnikowe. Zabezpieczenie firmy kosztuje ułamek kwoty, jaką przyjdzie Ci zapłacić, kiedy cyfrowy pożar strawi cały Twój dobytek.

Polecam także stronę zabezpieczsie.pl – to proste i darmowe narzędzie, które pozwala w kilka minut bezlitośnie obnażyć realny stan cyfrowej higieny w Twojej firmie. Zamiast skomplikowanego i drogiego audytu otrzymujesz tam przejrzystą listę kontrolną, dzięki której na chłodno wyłapiesz każdą niebezpieczną lukę. Cyberprzestępcy nie biorą wolnego na weekend, dlatego odkładanie tej weryfikacji na mityczne „później” to najprostsza droga do wizerunkowej oraz finansowej katastrofy. Jeśli po przeklikaniu tych punktów cokolwiek wzbudzi Twój niepokój, napisz do mnie bezpośrednio, a chętnie we wszystkim Ci pomogę.

Dziękuję Ci za rozmowę.

Dominika Studniak - Od 2010 r. związana z portalem Nieruchomosci-online.pl. Realizuje projekty związane z administrowaniem portalami internetowymi i ich optymalizacją, copywritingiem i content marketingiem. Redaktor naczelna bloga Nieruchomosci-online.pl. Redaktor prowadząca e-magazynu „ESTATE”.