Firma Google zaczęła wprowadzać nową metodę odzyskiwania dostępu do konta w przypadku zgubienia telefonu lub zapomnienia hasła: opcję weryfikacji za pomocą „filmiku z selfie”.
Po nagraniu krótkiego filmiku przedstawiającego Twoją twarz podczas konfiguracji konta możesz później przesłać kolejny filmik w ramach procedury odzyskiwania konta, aby potwierdzić swoją tożsamość i odzyskać dostęp.
Na papierze brzmi to jak przyjazne dla użytkownika rozwiązanie problemu zablokowanych kont. W praktyce jednak rodzi to nowe pytania dotyczące bezpieczeństwa i prywatności. Budzi również obawy związane z deepfakes tworzy kolejne repozytorium wrażliwych danych biometrycznych, które w razie naruszenia bezpieczeństwa mogłoby stać się celem ataku.
Zasada jest następująca: logujesz się na swoje konto Google, przechodzisz do sekcji „Bezpieczeństwo i logowanie”, wybierasz opcję „Film z selfie” i postępujesz zgodnie z wyświetlanymi instrukcjami, aby nagrać krótki filmik przedstawiający Twoją twarz i podstawowe ruchy. Google przechowuje ten film rejestracyjny, a następnie porównuje go z nowymi filmikami przesłanymi przez Ciebie podczas logowania lub odzyskiwania konta w celu potwierdzenia Twojej tożsamości.
Choć może się to wydawać dobrym pomysłem, jest to klasyczny przykład zamiany długoterminowego bezpieczeństwa i prywatności na krótkoterminową wygodę.
Google zapewnia również szereg gwarancji dotyczących prywatności. Zgodnie z oświadczeniami firmy cytowanymi w doniesieniach prasowych, nagrania są szyfrowane w stanie spoczynku, przechowywane „w bezpieczny sposób” i można je usunąć za pomocą ustawień zabezpieczeń. Użytkownik może zrezygnować z udostępniania ich do celów ulepszania systemów weryfikacji Google, a firma zapewnia, że nie są one udostępniane stronom trzecim. Funkcja ta jest promowana jako metoda awaryjna, która w praktyce zamienia twarz użytkownika w zapasowy klucz do jego cyfrowego życia.
Liczne zastrzeżenia
Bezpieczeństwo
Każda twarz jest wyjątkowa, ale systemy rozpoznawania twarzy nie porównują zdjęć bezpośrednio. Według ocen amerykańskiego Narodowego Instytutu Standardów i Technologii (NIST) najlepsze algorytmy rozpoznawania twarzy mogą osiągać dokładność przekraczającą 99% w kontrolowanych warunkach i przy wysokiej jakości obrazu. Brzmi to imponująco, ale nadal oznacza to występowanie fałszywych wyników pozytywnych i negatywnych, a skuteczność spada wraz z pogorszeniem się oświetlenia, jakości aparatu i kąta ujęcia.
Technologia rozpoznawania twarzy nie przechowuje samego zdjęcia. Przechowuje ona matematyczną reprezentację (wbudowanie) rysów twarzy użytkownika. Podczas logowania lub weryfikacji system oblicza nowe wbudowanie i porównuje je z zapisanym, akceptując użytkownika, jeśli wynik podobieństwa przekracza ustalony próg. Każdy system stosowany przez Google musi uwzględniać naturalne zmiany wyglądu, w tym starzenie się, zmiany wagi, oświetlenie, kąt ustawienia aparatu, okulary lub zarost.
Już sam ten fakt sprawia, że wykorzystywanie twarzy (lub filmiku z selfie) jako samodzielnego środka uwierzytelniającego o wysokim poziomie uprawnień – zwłaszcza w celu odzyskania dostępu do konta – jest z natury ryzykownym rozwiązaniem.
Współczesne deepfakes na tyle przekonujące, że naukowcy aktywnie badają, czy są w stanie oszukać systemy weryfikacji twarzy. W artykule z 2025 roku poświęconym sztucznej inteligencji i bezpieczeństwu tożsamości stwierdzono, że w kontrolowanych testach wyrafinowane deepfake osiągnęły skuteczność powyżej 78% w przypadku niektórych komercyjnych systemów weryfikacji twarzy. Nie musi to odzwierciedlać konkretnego rozwiązania stosowanego przez Google, ale pokazuje, jak szybko rozwija się ta dziedzina.
Ochrona prywatności
Osobiście nie chcę, żeby Google miało moje zdjęcie twarzy. Chociaż pewnie ma już mnóstwo moich zdjęć.
Oprócz potencjalnych zagrożeń związanych z lukami w zabezpieczeniach i naruszeniami danych firma Google już teraz gromadzi ogromne ilości danych behawioralnych. Obecnie zachęca użytkowników do przesyłania wysokiej jakości nagrań wideo przedstawiających ich twarze i ruchy głowy w ramach podstawowego zarządzania kontem. Nawet jeśli obecne podejście Google do kwestii prywatności jest rozsądne (szyfrowanie danych w spoczynku, mechanizmy kontroli usuwania, brak udostępniania), sam fakt istnienia tych danych stanowi długoterminowe zagrożenie dla prywatności.
Z czasem zmieniają się również Privacy oraz sposoby wykorzystania produktów. Dzisiejsze „nieudostępniane” może jutro stać się „wykorzystywane do wykrywania oszustw”, „wykorzystywane do ulepszania systemów weryfikacji” lub ujawnione w odpowiedzi na zgodne z prawem wnioski.
W dokumentacji Google, na którą powołują się niektóre źródła, napisano: „użytkownicy mogą również zrezygnować z wyrażenia zgody na wykorzystywanie danych do dodatkowych celów, takich jak udoskonalanie metod weryfikacji”. Oznacza to, że o ile nie zrezygnujesz, Twoje dane mogą zostać wykorzystane do udoskonalenia systemów weryfikacji biometrycznej Google. Innymi słowy, nie jest to tylko jednorazowa kontrola bezpieczeństwa. Twój wizerunek twarzy może pomóc w szkoleniu lub udoskonalaniu systemów biometrycznych, z których Google będzie korzystać w przyszłości.
Co użytkownicy powinni zrobić zamiast tego
Jeśli Twoje konto Google oferuje funkcję logowania za pomocą nagrania wideo z selfie (moje na razie jej nie ma), moja rada jest prosta: nie włączaj tej funkcji, a jeśli już ją wypróbowałeś, usuń nagranie wideo z selfie w ustawieniach zabezpieczeń konta.
Bezpieczniejsze opcje, dzięki którym zachowujesz kontrolę:
- Korzystaj z menedżera haseł i ustaw długie, niepowtarzalne hasło do swojego konta Google.
- Włącz weryfikację dwuetapową za pomocą sprzętowych kluczy bezpieczeństwa lub kluczy dostępu zamiast kodów SMS.
- Kody zapasowe należy wydrukować lub przechowywać w trybie offline w bezpiecznym miejscu.
- Regularnie sprawdzaj swój adres e-mail i numer telefonu służące do odzyskiwania dostępu oraz usuwaj te dane, nad którymi już nie masz kontroli.
Chociaż środki te nie są tak efektowne jak „logowanie za pomocą twarzy”, są one sprawdzone w praktyce, można je cofnąć i stanowią znacznie mniej atrakcyjny cel dla deepfake oraz osób zajmujących się pozyskiwaniem danych biometrycznych.
Przeglądaj, jakby nikt nie patrzył.
Malwarebytes Privacy VPN Twoje połączenie i nigdy nie rejestruje Twojej aktywności, dzięki czemu kolejna przeczytana przez Ciebie wiadomość nie będzieCię osobiście dotykać.Wypróbuj za darmo →
