Firma Google zaczęła wprowadzać nową metodę odzyskiwania dostępu do konta w przypadku zgubienia telefonu lub zapomnienia hasła: opcję weryfikacji za pomocą „filmiku z selfie”.
Po nagraniu krótkiego filmiku przedstawiającego Twoją twarz podczas konfiguracji konta możesz później przesłać kolejny filmik w ramach procedury odzyskiwania konta, aby potwierdzić swoją tożsamość i odzyskać dostęp.
Na papierze brzmi to jak przyjazne dla użytkownika rozwiązanie problemu blokady konta. W praktyce jednak wprowadza nowe kwestie bezpieczeństwa i prywatności. Rodzi również obawy dotyczące deepfakes i tworzy kolejne repozytorium wrażliwych danych biometrycznych, które mogą stać się celem ataku, jeśli zostaną naruszone.
Zasada jest następująca: logujesz się na swoje konto Google, przechodzisz do sekcji „Bezpieczeństwo i logowanie”, wybierasz opcję „Film z selfie” i postępujesz zgodnie z wyświetlanymi instrukcjami, aby nagrać krótki filmik przedstawiający Twoją twarz i podstawowe ruchy. Google przechowuje ten film rejestracyjny, a następnie porównuje go z nowymi filmikami przesłanymi przez Ciebie podczas logowania lub odzyskiwania konta w celu potwierdzenia Twojej tożsamości.
Choć może się to wydawać dobrym pomysłem, jest to klasyczny przykład zamiany długoterminowego bezpieczeństwa i prywatności na krótkoterminową wygodę.
Google zapewnia również szereg gwarancji dotyczących prywatności. Zgodnie z oświadczeniami firmy cytowanymi w doniesieniach prasowych, nagrania są szyfrowane w stanie spoczynku, przechowywane „w bezpieczny sposób” i można je usunąć za pomocą ustawień zabezpieczeń. Użytkownik może zrezygnować z udostępniania ich do celów ulepszania systemów weryfikacji Google, a firma zapewnia, że nie są one udostępniane stronom trzecim. Funkcja ta jest promowana jako metoda awaryjna, która w praktyce zamienia twarz użytkownika w zapasowy klucz do jego cyfrowego życia.
Liczne zastrzeżenia
Bezpieczeństwo
Każda twarz jest wyjątkowa, ale systemy rozpoznawania twarzy nie porównują zdjęć bezpośrednio. Według ocen amerykańskiego Narodowego Instytutu Standardów i Technologii (NIST) najlepsze algorytmy rozpoznawania twarzy mogą osiągać dokładność przekraczającą 99% w kontrolowanych warunkach i przy wysokiej jakości obrazu. Brzmi to imponująco, ale nadal oznacza to występowanie fałszywych wyników pozytywnych i negatywnych, a skuteczność spada wraz z pogorszeniem się oświetlenia, jakości aparatu i kąta ujęcia.
Technologia rozpoznawania twarzy nie przechowuje samego zdjęcia. Przechowuje ona matematyczną reprezentację (wbudowanie) rysów twarzy użytkownika. Podczas logowania lub weryfikacji system oblicza nowe wbudowanie i porównuje je z zapisanym, akceptując użytkownika, jeśli wynik podobieństwa przekracza ustalony próg. Każdy system stosowany przez Google musi uwzględniać naturalne zmiany wyglądu, w tym starzenie się, zmiany wagi, oświetlenie, kąt ustawienia aparatu, okulary lub zarost.
Już sam ten fakt sprawia, że wykorzystywanie twarzy (lub filmiku z selfie) jako samodzielnego środka uwierzytelniającego o wysokim poziomie uprawnień – zwłaszcza w celu odzyskania dostępu do konta – jest z natury ryzykownym rozwiązaniem.
Nowoczesny deepfakes Stały się na tyle przekonujące, że naukowcy aktywnie badają, czy potrafią oszukać systemy weryfikacji twarzy. W jednym z artykułów z 2025 roku na temat sztucznej inteligencji i bezpieczeństwa tożsamości stwierdzono, że deepfake W kontrolowanych testach ataki osiągnęły skuteczność przekraczającą 78% w przypadku niektórych komercyjnych systemów weryfikacji twarzy. Niekoniecznie odzwierciedla to implementację Google, ale pokazuje, jak szybko rozwija się ta dziedzina.
Ochrona prywatności
Osobiście nie chcę, żeby Google miało moje zdjęcie twarzy. Chociaż pewnie ma już mnóstwo moich zdjęć.
Oprócz potencjalnych zagrożeń związanych z lukami w zabezpieczeniach i naruszeniami danych firma Google już teraz gromadzi ogromne ilości danych behawioralnych. Obecnie zachęca użytkowników do przesyłania wysokiej jakości nagrań wideo przedstawiających ich twarze i ruchy głowy w ramach podstawowego zarządzania kontem. Nawet jeśli obecne podejście Google do kwestii prywatności jest rozsądne (szyfrowanie danych w spoczynku, mechanizmy kontroli usuwania, brak udostępniania), sam fakt istnienia tych danych stanowi długoterminowe zagrożenie dla prywatności.
Privacy Zasady i zastosowania produktów również zmieniają się z czasem. Dzisiejsze „nieudostępnianie” może jutro stać się „wykorzystywaniem do wykrywania oszustw”, „wykorzystywaniem do ulepszania systemów weryfikacji” lub ujawnieniem w odpowiedzi na zgodne z prawem żądania.
W dokumentacji Google, na którą powołują się niektóre źródła, napisano: „użytkownicy mogą również zrezygnować z wyrażenia zgody na wykorzystywanie danych do dodatkowych celów, takich jak udoskonalanie metod weryfikacji”. Oznacza to, że o ile nie zrezygnujesz, Twoje dane mogą zostać wykorzystane do udoskonalenia systemów weryfikacji biometrycznej Google. Innymi słowy, nie jest to tylko jednorazowa kontrola bezpieczeństwa. Twój wizerunek twarzy może pomóc w szkoleniu lub udoskonalaniu systemów biometrycznych, z których Google będzie korzystać w przyszłości.
Co użytkownicy powinni zrobić zamiast tego
Jeśli Twoje konto Google oferuje funkcję logowania za pomocą nagrania wideo z selfie (moje na razie jej nie ma), moja rada jest prosta: nie włączaj tej funkcji, a jeśli już ją wypróbowałeś, usuń nagranie wideo z selfie w ustawieniach zabezpieczeń konta.
Bezpieczniejsze opcje, dzięki którym zachowujesz kontrolę:
- Korzystaj z menedżera haseł i ustaw długie, niepowtarzalne hasło do swojego konta Google.
- Włącz weryfikację dwuetapową za pomocą sprzętowych kluczy bezpieczeństwa lub kluczy dostępu zamiast kodów SMS.
- Kody zapasowe należy wydrukować lub przechowywać w trybie offline w bezpiecznym miejscu.
- Regularnie sprawdzaj swój adres e-mail i numer telefonu służące do odzyskiwania dostępu oraz usuwaj te dane, nad którymi już nie masz kontroli.
Choć te środki nie są tak efektowne jak „zaloguj się twarzą”, są sprawdzone, można je odwołać i są znacznie mniej atrakcyjne dla deepfake operatorzy i osoby poszukujące danych biometrycznych.
Przeglądaj, jakby nikt nie patrzył.
Malwarebytes Privacy VPN Szyfruje Twoje połączenie i nigdy nie rejestruje Twoich działań, więc kolejna przeczytana historia nie musi być osobista. Wypróbuj za darmo →
