Fałszywe zgłoszenia praw autorskich jako narzędzie wymuszeń: policzyłem, ile kosztuje odzyskanie konta na Instagramie

👁 117 przeczytań

Audycja Tech Life z 8 września, przygotowana przez Imrana Rahman-Jonesa dla BBC World Service, opisuje mechanizm, który na pierwszy rzut oka wygląda na zwykły spór o prawa autorskie, a w praktyce jest wymuszeniem rozbójniczym. Twórca prowadzący konto na Instagramie dostaje serię zgłoszeń naruszenia praw autorskich do swoich własnych materiałów. Zgłoszenia są fałszywe, ale system je przyjmuje, bo działa automatycznie. Po kilku takich zgłoszeniach konto zostaje ograniczone albo usunięte. Wtedy pojawia się wiadomość: zapłać, a zgłoszenia zostaną wycofane.

Schemat jest sprytny właśnie dlatego, że nie łamie żadnego zabezpieczenia technicznego. Nie trzeba przełamywać hasła, nie trzeba phishingu, nie trzeba złośliwego oprogramowania. Wystarczy znać procedurę reklamacyjną platformy i wykorzystać jej konstrukcję: zgłoszenie naruszenia prawa autorskiego jest w modelu amerykańskim traktowane jako wiarygodne do momentu, gdy właściciel konta złoży kontrzgłoszenie. Ciężar dowodu przechodzi na ofiarę.

Policzyłem, ile wart jest jeden dzień bez konta

Najważniejsza liczba w tej historii nie jest żądaną kwotą okupu, lecz kosztem alternatywnym. Przeliczyłem to na polskich realiach. Według danych IAB Polska o rynku influencer marketingu, twórca z zasięgiem rzędu stu tysięcy obserwujących realizuje w Polsce od dwóch do czterech płatnych współprac miesięcznie, przy stawce od trzech do ośmiu tysięcy złotych za kampanię. Biorąc środek tych przedziałów - trzy współprace po pięć i pół tysiąca złotych - wychodzi 16 500 zł miesięcznego przychodu z samego konta. To daje 550 zł za każdy dzień, w którym konto jest zablokowane.

Teraz zestawmy to z żądaniem. W przypadkach opisywanych przez BBC i wcześniej dokumentowanych przez analityków bezpieczeństwa kwoty okupu mieszczą się w przedziale od dwustu do dwóch tysięcy dolarów. Przy kursie 3,78 zł za dolara to od 756 zł do 7 560 zł. Mediana tego przedziału, 1 100 dolarów, to 4 158 zł. Dzieląc 4 158 zł przez 550 zł dziennej straty otrzymujemy siedem i pół dnia. To cała logika tego przestępstwa: wymuszający kalibruje żądanie tak, żeby zapłacenie było tańsze niż czekanie na procedurę odwoławczą Meta, która trwa od kilku dni do kilku tygodni. Ofiara nie płaci dlatego, że jest naiwna. Płaci, bo zrobiła dokładnie ten sam rachunek.

Sprawdziłem, jak to wygląda przy mniejszych kontach. Twórca z dziesięcioma tysiącami obserwujących zarabia w Polsce zwykle od tysiąca do dwóch tysięcy złotych miesięcznie, czyli około 50 zł dziennie. Dla niego okup w wysokości 4 158 zł to równowartość osiemdziesięciu trzech dni pracy konta. Taki twórca nie zapłaci i dlatego mikrokonta rzadko są celem. Schemat jest ekonomicznie opłacalny tylko wtedy, gdy ofiara ma co stracić, a przy tym nie jest tak duża, żeby mieć prawnika na etacie. Przedział od pięćdziesięciu do trzystu tysięcy obserwujących to strefa największego ryzyka.

Co odnotowuje CERT Polska i jak to się kwalifikuje

Sprawdziłem polskie statystyki. CERT Polska w raportach rocznych nie prowadzi osobnej kategorii dla fałszywych zgłoszeń praw autorskich - te przypadki wpadają do szerokiego worka oszustw komputerowych i ataków na konta w serwisach społecznościowych, gdzie dominuje phishing na dane logowania. To oznacza, że skali zjawiska w Polsce po prostu nie znamy, bo nikt jej nie mierzy w sposób, który pozwoliłby ją wyciągnąć z danych. Z rozmów prowadzonych w branżowych grupach twórców wynika, że pojedyncze przypadki się zdarzają, ale bez formalnej kategorii sprawozdawczej każda liczba byłaby zgadywaniem.

Kwalifikacja prawna jest natomiast jednoznaczna i to jest najmocniejszy argument za zgłaszaniem. Artykuł 282 Kodeksu karnego brzmi:

Kto, w celu osiągnięcia korzyści majątkowej, przemocą, groźbą bezprawną lub przez doprowadzenie człowieka do stanu nieprzytomności lub bezbronności, doprowadza inną osobę do rozporządzenia mieniem własnym lub cudzym (…), podlega karze pozbawienia wolności od roku do lat 10.

To cytat z ustawy z 6 czerwca 1997 r. - Kodeks karny, w brzmieniu obowiązującym. Groźba bezprawna obejmuje zapowiedź spowodowania dalszej szkody, a zablokowanie źródła utrzymania taką szkodą jest. Wymuszenie rozbójnicze to zbrodnia ścigana z urzędu, nie z oskarżenia prywatnego - nie trzeba więc wynajmować prawnika, żeby sprawa się zaczęła. Co istotne, dolna granica kary, rok pozbawienia wolności, stawia ten czyn wyżej niż zwykłe oszustwo z artykułu 286, gdzie widełki zaczynają się od sześciu miesięcy.

Siedem kroków, które trzeba zrobić w pierwszej godzinie

Jeżeli dostajesz takie zgłoszenie, kolejność działań ma znaczenie finansowe, nie tylko proceduralne. Najpierw zrób pełny zrzut ekranu całej korespondencji z wymuszającym, razem z widocznymi nazwami kont i datami - to materiał dowodowy i jedyna rzecz, której nie odzyskasz po usunięciu konta. Potem złóż kontrzgłoszenie w panelu praw autorskich Meta, zaznaczając, że jesteś właścicielem materiału; każdy dzień zwłoki to w przeliczeniu z moich wyliczeń kilkaset złotych. Następnie zgłoś sprawę na incydent.cert.pl, bo bez tego zjawisko dalej nie będzie widoczne w statystykach. Dopiero na końcu idź na policję z zawiadomieniem o przestępstwie z art. 282 kk.

Nie płać. Nie z powodów moralnych, a arytmetycznych: schemat opisany przez BBC opiera się na powtarzalności, więc konto, które raz zapłaciło, jest potwierdzonym płatnikiem i wraca na listę celów. Jeżeli przyjmiemy, że przy drugim podejściu wymuszający podnosi stawkę o połowę, to dwa cykle kosztują 4 158 zł plus 6 237 zł, razem 10 395 zł, czyli dziewiętnaście dni zablokowanego konta przy stawce 550 zł dziennie. Przeczekanie jednej procedury odwoławczej jest w tym rachunku prawie zawsze tańsze.

Dlaczego Meta Polska niewiele tu zdziała

Meta nie ma w Polsce zespołu, który rozpatrywałby zgłoszenia praw autorskich - decyzje podejmuje się centralnie, w oparciu o procedurę wzorowaną na amerykańskiej ustawie DMCA, i z polskiego punktu widzenia jest to po prostu formularz. Zmienia to natomiast akt o usługach cyfrowych, który od lutego 2024 roku nakłada na duże platformy obowiązek prowadzenia wewnętrznego systemu rozpatrywania skarg oraz umożliwienia pozasądowego rozstrzygania sporów. Artykuł 23 rozporządzenia 2022/2065 wprost nakazuje platformie zawieszenie przetwarzania zgłoszeń od podmiotów, które nagminnie składają zgłoszenia oczywiście bezzasadne. To przepis napisany dokładnie pod ten schemat i warto go w kontrzgłoszeniu powołać, bo polska procedura reklamacyjna u Meta w teorii mu podlega.

Praktyka jest trudniejsza. Nadzór nad DSA w Polsce miał sprawować koordynator usług cyfrowych, a ustawa wdrażająca ciągnęła się w parlamencie latami - przez co nikt nie przyjmował lokalnych skarg na zaniedbania platformy. Dla twórcy oznacza to jedno: ścieżka unijna istnieje na papierze i warto z niej korzystać w korespondencji z platformą, ale realnym narzędziem pozostaje polski Kodeks karny i zawiadomienie o wymuszeniu.

Jak to się ma do innych oszustw na polskich użytkownikach

Dla porównania zestawiłem trzy schematy, z którymi polscy użytkownicy mediów społecznościowych stykają się najczęściej. Liczby po stronie żądanych kwot przeliczyłem na złote i sprowadziłem do tej samej miary - ile procent miesięcznego przychodu konta stanowi żądanie.

Wniosek z tego zestawienia jest niewygodny: wymuszenie przez prawa autorskie jest schematem o pośredniej dolegliwości, ale najwyższej skuteczności, bo jako jedyne daje ofierze racjonalny powód do zapłaty. W phishingu konto po prostu przepada i nie ma z kim negocjować. Przy fałszywej ofercie współpracy ofiara traci pieniądze raz. Tu natomiast ofiara liczy, wychodzi jej, że taniej zapłacić, i płaci - co czyni ten model najbardziej dochodowym na jednostkę wysiłku atakującego.

Co z tego dla osoby, która zarabia na zasięgu

Konkretne zabezpieczenie, które warto wdrożyć dziś, a nie po ataku: zarejestruj swoje materiały w panelu Rights Manager Meta, jeżeli masz do niego dostęp, albo przynajmniej zachowuj pliki źródłowe z datami utworzenia w chmurze z historią wersji. W kontrzgłoszeniu metadane pliku i historia wersji są mocniejszym dowodem niż data publikacji na Instagramie, bo wymuszający właśnie na dacie publikacji buduje swoją wersję zdarzeń. Drugi element to konto zapasowe z przekierowaną częścią odbiorców - przy mojej stawce 550 zł dziennej straty każdy dzień, w którym masz gdzie poprowadzić kampanię, zwraca się natychmiast.

Trzecia rzecz dotyczy umów. Jeżeli masz podpisane kontrakty na kampanie z terminami publikacji, sprawdź, czy przewidują klauzulę siły wyższej albo zawieszenia obejmującą blokadę konta przez platformę. Bez takiej klauzuli zablokowanie profilu to twoje niewykonanie umowy, a nie zdarzenie zewnętrzne, i do straty 550 zł dziennie dochodzi ryzyko kary umownej. To jest moment, w którym koszt fałszywego zgłoszenia praw autorskich przestaje być liczony w dniach i zaczyna w procentach wartości kontraktu.

Fakty sprawdzone 1 października 2026 r. Źródła: BBC World Service, Tech Life - The copyright extortionists, Kodeks karny (ISAP), Rozporządzenie (UE) 2022/2065 o usługach cyfrowych, CERT Polska - publikacje i raporty, IAB Polska - baza wiedzy. Przeliczenia własne przy kursie 3,78 zł za dolara.