Shoulder surfing, czyli podglądanie ekranu „przez ramię”, to najprostszy sposób na wyciek danych: nie wymaga hakowania, specjalnego sprzętu ani nawet złych intencji. Wystarczy, że ktoś siedzi obok ciebie w pociągu albo stoi za tobą w kolejce po kawę. W tym poradniku zebraliśmy, co mówią o tym badania, w jakich sytuacjach ryzyko jest największe i które zabezpieczenia naprawdę działają.
Co to jest shoulder surfing?
Shoulder surfing (dosłownie „surfowanie po ramieniu”) to obserwowanie cudzego ekranu, klawiatury lub dokumentów bez zgody ich właściciela. Podglądający może po prostu przeczytać treść maila, zapamiętać PIN albo wzór odblokowania telefonu, a w skrajnym przypadku zrobić zdjęcie ekranu.
Zjawisko jest tak stare jak bankomaty. Jednak praca zdalna i hybrydowa sprawiły, że dziś dotyczy niemal każdego, kto otwiera laptopa poza biurem: w pociągu, samolocie, kawiarni czy coworkingu.
Shoulder surfing a visual hacking – czy to to samo?
Terminy mocno się nakładają. Shoulder surfing częściej opisuje przypadkowe podglądanie w przestrzeni publicznej. Z kolei „visual hacking” to pojęcie używane w kontekście firm – celowe zbieranie informacji z ekranów, biurek i drukarek, np. przez osobę z zewnątrz, która weszła do biura jako gość, kurier czy podwykonawca.
Co mówią badania o podglądaniu ekranów?
Warto przyjrzeć się dwóm badaniom, ponieważ opisują problem z dwóch różnych stron: biura i codziennego życia.
Eksperyment w biurach: 91% udanych prób
Ponemon Institute na zlecenie firmy 3M przeprowadził eksperyment, w którym tester udający pracownika tymczasowego próbował zdobyć poufne informacje w biurach prawdziwych firm. W edycji globalnej z 2016 roku (157 prób w 46 firmach z 8 krajów) udało się to w 91% przypadków. Co więcej, kilka wniosków z badania dobrze pokazuje skalę problemu:
- To dzieje się szybko – w 49% prób pierwszą poufną informację udało się zdobyć w mniej niż 15 minut.
- Nikt nie reaguje – testera zatrzymano lub zagadnięto średnio tylko w 32% przypadków.
- Ekrany są najsłabszym ogniwem – najczęściej narażone były monitory pracowników, a otwarty układ biura (open space) zwiększał ryzyko.
- Proste zasady działają – firmy stosujące praktyki ochrony prywatności wizualnej miały średnio o 26% mniej takich incydentów.
Uczciwie trzeba jednak dodać, że badanie sfinansował producent filtrów prywatyzujących. Konkretne procenty traktuj więc jako mocny sygnał, a nie twardą statystykę – sam mechanizm łatwo natomiast sprawdzić w każdym biurze.
Badanie z życia codziennego: prawie każdy zna taką sytuację
Naukowcy z Uniwersytetu Ludwika i Maksymiliana w Monachium zebrali 174 historie od osób podglądanych i podglądających (Eiband i in., CHI 2017). Wyniki dobrze opisują, jak shoulder surfing wygląda poza biurem:
- 97% uczestników znało z życia przynajmniej jedną taką sytuację.
- Ponad dwie trzecie historii dotyczyło transportu publicznego, najczęściej w godzinach dojazdów do pracy.
- W 74% przypadków podglądający i podglądany byli sobie obcy, a głównym motywem była ciekawość i nuda, nie zła wola.
- Podglądani zauważyli to tylko w około 7% historii opowiedzianych przez podglądających.
- Wśród podejrzanych treści były wiadomości, zdjęcia, a w części przypadków także PIN-y, hasła i wzory odblokowania.
Najważniejszy wniosek jest więc taki: większość osób nawet nie wie, że ktoś czytał ich ekran. Dlatego ochrona nie może zależeć od tego, czy w porę zauważysz podglądacza.
Gdzie ryzyko shoulder surfingu jest największe?
- Pociąg, autobus, samolot – siedzenia blisko siebie, długi czas podróży i ludzie, którzy nie mają co robić.
- Kawiarnie i coworkingi – stoliki ustawione tak, że ekran widzi osoba za twoimi plecami.
- Open space – kilkanaście osób, a do tego goście, kurierzy i ekipy serwisowe przechodzące obok biurek.
- Recepcje i punkty obsługi klienta – monitor często jest zwrócony w stronę petenta.
- Sale konferencyjne – udostępniony ekran lub laptop zostawiony na stole po spotkaniu.
Więcej o pracy w drodze przeczytasz w artykule o pracy zdalnej w kawiarni, pociągu i samolocie.
Jakie dane najczęściej wyciekają?
Podglądacz rzadko widzi całą bazę danych. Zwykle wystarcza mu jednak kilka sekund, żeby zobaczyć coś, co ma wartość:
- dane logowania – hasło wpisywane na widoku, PIN, kod z SMS-a widoczny w powiadomieniu,
- komunikację – maile i czaty, w tym dane osób trzecich, z którymi piszesz,
- dane klientów – w firmie to już kwestia ochrony danych osobowych, którą opisujemy w tekście filtry prywatyzujące a RODO w firmie,
- informacje biznesowe – oferty, ceny, umowy, wyniki finansowe, plany zatrudnienia.
Jak chronić się przed shoulder surfingiem? 8 sposobów
- Załóż filtr prywatyzujący. To jedyne zabezpieczenie, które działa cały czas, nawet gdy nie zauważysz podglądacza. Osoba na wprost widzi normalny obraz, a z boku ekran robi się ciemny. Sprawdź filtry prywatyzujące do laptopów i filtry do monitorów.
- Wybieraj miejsce plecami do ściany. W kawiarni czy poczekalni to najprostszy sposób, by nikt nie stał za tobą.
- Blokuj ekran za każdym razem, gdy wstajesz. Na Windowsie to skrót Win + L, na Macu Control + Command + Q. Ustaw też automatyczną blokadę po kilku minutach bezczynności.
- Zmniejsz jasność w miejscach publicznych. Im jaśniejszy ekran, tym łatwiej odczytać go z boku – także przy założonym filtrze.
- Wyłącz podgląd treści powiadomień. Kod jednorazowy lub fragment wiadomości na ekranie blokady to gotowy łup.
- Korzystaj z menedżera haseł i biometrii. Im rzadziej wpisujesz hasło ręcznie, tym mniej okazji, by ktoś je podejrzał.
- Uważaj na wideorozmowy i udostępnianie ekranu. Używaj słuchawek i zamykaj zbędne okna przed udostępnieniem pulpitu.
- Wprowadź jasne zasady w firmie. Jeśli zarządzasz zespołem, ochrona ekranów powinna być częścią polityki bezpieczeństwa – możemy pomóc w doborze filtrów dla firm.
Filtr prywatyzujący – jak działa w praktyce?
Filtr to cienka nakładka z mikrolamelami, które działają jak miniaturowe żaluzje. Światło z ekranu przechodzi głównie na wprost, więc osoba siedząca przed laptopem widzi wyraźny obraz, a przy patrzeniu pod kątem ok. 30° i większym ekran wyraźnie ciemnieje. W efekcie shoulder surfing z boku staje się praktycznie niemożliwy. Filtry NoLook mają dwie strony – matową, która ogranicza odblaski, i błyszczącą, która daje mocniejszy kontrast – oraz montaż stały lub zdejmowany.
Najważniejsze jest przy tym dobranie właściwego rozmiaru. Ekrany 14″ w proporcjach 16:9 i 16:10 mają zupełnie inne wymiary, więc zanim zamówisz, skorzystaj z poradnika doboru rozmiaru filtra lub przeczytaj, jak dobrać filtr prywatyzujący do laptopa.
Najczęstsze pytania o shoulder surfing
Czy filtr prywatyzujący chroni przed zrobieniem zdjęcia ekranu?
Przed zdjęciem zrobionym z boku – tak, bo aparat „widzi” ten sam przyciemniony ekran co oko. Filtr nie pomoże natomiast, jeśli ktoś stoi dokładnie za tobą i patrzy na wprost. Dlatego warto łączyć go z wyborem miejsca i blokadą ekranu.
Czy shoulder surfing dotyczy też telefonów?
Tak, a nawet przede wszystkim. W badaniu z Monachium prawie wszystkie opisane sytuacje dotyczyły smartfonów. Na telefonie pomagają wyłączone podglądy powiadomień, biometria i ostrożność przy wpisywaniu PIN-u.
Czy shoulder surfing zdarza się też w biurze?
Częściej, niż się wydaje – zwłaszcza w open space, na recepcji i tam, gdzie przewijają się goście. Eksperymenty w biurach pokazały, że poufne informacje da się zebrać bez żadnej techniki, po prostu przechodząc obok biurek.
Czy sam filtr wystarczy?
Filtr usuwa największą część ryzyka, ponieważ działa automatycznie. Najlepsze efekty daje jednak w połączeniu z nawykami: blokadą ekranu, rozsądnym wyborem miejsca i wyłączonymi podglądami powiadomień.
Podsumowanie
Shoulder surfing to cichy, ale bardzo realny sposób na wyciek danych. Nie potrzeba do niego hakera – wystarczy ciekawski współpasażer. Na szczęście ochrona jest prosta i tania: filtr prywatyzujący, blokada ekranu i kilka nawyków zamykają większość luk. Jeśli nie wiesz, jaki rozmiar wybrać, napisz do nas przez stronę kontaktową – podaj model laptopa lub monitora, a dobierzemy filtr za ciebie.
