Dincolo de urmele digitale

Ce poate și ce nu poate face profilarea criminală în investigarea criminalității cibernetice

Articol scris de Corina Gheorgheza

În spațiul digital, autorul nu lasă amprente în sensul clasic, dar lasă urme: loguri, metadate, alegeri tehnice, ritmuri de activitate și moduri repetate de operare. Acestea pot spune ceva despre comportamentul său, însă nu îi dezvăluie automat identitatea. Profilarea criminală poate orienta o investigație cibernetică, dar numai dacă rămâne legată de probe și este tratată ca un instrument de formulare a ipotezelor, nu ca un verdict.

Scena crimei nu a dispărut ci s-a mutat

Când vorbim despre criminalitate cibernetică, imaginea populară este încă aceea a unui hacker izolat, ascuns în spatele unui ecran. În realitate, categoria este mult mai largă. Poate include furt de identitate, phishing, acces neautorizat la sisteme, atacuri din interiorul organizațiilor, hărțuire online, distribuirea de materiale ilegale sau operațiuni coordonate în scop financiar, ideologic ori strategic.

Lucrarea "The Use of Criminal Profiling in Cybercrime Investigations", realizată de Natasha Garcia în 2018 la Utica College, pornește de la ideea că mediul virtual poate fi analizat ca o scenă a crimei. Nu există o încăpere delimitată de bandă, dar există un ansamblu de urme digitale: fișiere jurnal, istoricul navigării, e-mailuri, imagini, metadate, chei de registru, date despre trafic și activitate pe platforme sociale. Împreună, aceste elemente formează ceea ce autoarea numește cybertrail, traseul digital lăsat de autor.

Totuși, o urmă nu vorbește singură. Un log poate arăta ce s-a întâmplat și când, iar metadatele pot indica modul în care un fișier a fost creat sau modificat. Interpretarea sensului acestor acțiuni presupune o întrebare diferită: ce alegeri a făcut autorul, de ce le-a făcut și ce ne pot spune ele despre nivelul său de competență, motivație și raportarea la victimă? Aici intervine profilarea comportamentală.

Profilarea nu identifică singură autorul

Obiectivul profilării nu este să rezolve cazul în absența probelor și nici să producă portretul infailibil al unei persoane necunoscute. Rolul ei este mai modest: să ajute investigatorii să identifice și să înțeleagă tipul de autor pe care îl caută, să restrângă sau să ordoneze ipotezele și să observe posibile legături între incidente.

În abordarea deductivă, profilul este construit pornind de la datele cazului concret. Sunt analizate comportamentele observabile și urmele tehnice, iar concluziile trebuie să poată fi urmărite înapoi până la dovezile care le susțin. Dacă istoricul activității arată, de exemplu, o monitorizare repetată și intensă a reacțiilor publice după atac, investigatorul poate formula ipoteze despre nevoia de control, teama de descoperire sau dorința de recunoaștere. Niciuna dintre aceste explicații nu devine însă fapt doar pentru că pare plauzibilă.

Abordarea inductivă compară situația cu tipare desprinse din cazuri anterioare. Ea poate fi utilă pentru orientare, dar riscul este evident: o regularitate statistică la nivelul unui grup nu descrie în mod necesar individul investigat. Cu cât profilul devine mai general, de pildă, "bărbat cu abilități tehnice și motivație financiară", cu atât crește numărul persoanelor care se potrivesc și scade puterea sa reală de discriminare.

Relația esențială cu criminalistica digitală

Una dintre concluziile centrale ale lucrării este că profilarea criminală și criminalistica digitală trebuie să funcționeze împreună. Criminalistica digitală colectează, conservă și analizează probele tehnice. Profilarea încearcă să interpreteze comportamentul reflectat de acele probe. Prima oferă fundamentul verificabil; a doua poate sugera semnificația investigativă a unui tipar.

Logurile pot reconstitui succesiunea acțiunilor. Istoricul navigării poate indica documentarea prealabilă, preocupările sau monitorizarea consecințelor. Metadatele pot lega fișiere, dispozitive și intervale temporale. Stilul de redactare, selecția victimelor și canalele de comunicare pot oferi informații despre familiaritatea cu victima, competențele sociale sau preferințele autorului. Privite împreună, aceste elemente ajută la reconstruirea unui modus operandi.

Dar calitatea profilului nu poate depăși calitatea datelor pe care se bazează. Dacă probele sunt incomplete, contaminate, interpretate greșit sau scoase din context, profilul va amplifica eroarea. De aceea, conservarea integrității datelor, documentarea fiecărei etape și separarea clară dintre observație și inferență sunt condiții esențiale, nu simple detalii tehnice.

Nu există un singur profil al infractorului cibernetic

Studiile discutate de Garcia propun mai multe tipologii: începători atrași de provocare și validare, autori interesați de faimă, infractori orientați exclusiv spre profit, grupări profesioniste, actori cu motivații ideologice sau strategice, persoane din interiorul organizației și autori care folosesc ingineria socială. Diferențele dintre aceștia nu sunt doar tehnice. Ele privesc scopul, selecția țintei, toleranța la risc, nevoia de recunoaștere, resursele și relația cu victima.

Un atacator intern, de exemplu, poate avea acces legitim la date și cunoaște procesele organizației. Comportamentul său nu seamănă neapărat cu al unui infractor care exploatează de la distanță o vulnerabilitate. Un phisher se bazează în mare măsură pe persuasiune și pe înțelegerea reacțiilor umane, în timp ce un grup profesionist poate urmări eficiența, anonimatul și monetizarea la scară mare.

Aceste categorii sunt utile numai ca hărți provizorii. Ele nu trebuie transformate în identități fixe sau în liste de trăsături după care o persoană este declarată suspectă. Tehnicile pot fi învățate, cumpărate sau copiate, iar același individ își poate schimba metodele și motivațiile în timp. În plus, un atac poate implica mai mulți participanți cu roluri diferite, astfel încât urmele observate să nu aparțină unui singur profil psihologic.

Modus operandi, motiv și semnătură digitală

În profilare, modul de operare descrie felul în care autorul își comite fapta: instrumentele alese, ordinea acțiunilor, nivelul de pregătire, metodele de acces și strategiile de evitare a detectării. Motivul încearcă să răspundă întrebării "de ce?": bani, răzbunare, ideologie, control, interes sexual, curiozitate, competiție sau dorința de statut.

Unele elemente pot părea o semnătură personală, mai ales când se repetă în mai multe incidente. Totuși, în mediul digital, atribuirea este deosebit de dificilă. Codul poate fi reutilizat, infrastructura poate fi închiriată, instrumentele sunt distribuite între grupări, iar indiciile lingvistice ori geografice pot fi plantate deliberat. O asemănare între două atacuri poate indica același autor, aceeași unealtă sau doar imitarea unei metode cunoscute.

Prin urmare, profilarea poate sugera că două cazuri merită comparate, dar legătura trebuie demonstrată printr-un ansamblu convergent de dovezi. Când profilul este folosit pentru a confirma o presupunere existentă, în loc să testeze explicații alternative, el devine o sursă de bias de confirmare.

Unde apar cele mai mari riscuri

Lucrarea atrage atenția asupra validității limitate a profilării și asupra dificultății de a o utiliza ca probă de sine stătătoare. Un profil greșit poate consuma timp și resurse, poate lega artificial cazuri fără legătură și poate îndrepta suspiciunea spre persoane care corespund unei descrieri generale, dar nu au comis fapta.

Există și o problemă de transfer al concluziilor. Tiparele desprinse dintr-un lot mic, dintr-o anumită țară sau dintr-un singur tip de infracțiune nu pot fi aplicate automat altor populații și contexte. Chiar lucrarea analizată recunoaște că baza de cercetare era încă restrânsă, că multe studii se concentrau aproape exclusiv pe hackeri și că accesul cercetătorilor la dosare reale era limitat.

Mai există o limită importantă: comportamentul online se schimbă odată cu tehnologia, cu măsurile defensive și cu experiența autorului. Orice tipologie care nu este actualizată riscă să descrie trecutul, nu cazul aflat în lucru. Iar o lucrare din 2018 trebuie citită tocmai în acest context: oferă un cadru util de gândire, dar nu o taxonomie definitivă pentru criminalitatea cibernetică de astăzi.

Cum poate fi folosită responsabil profilarea

Utilitatea profilării crește atunci când limitele ei sunt formulate explicit. Într-o investigație bine construită, profilul ar trebui să indice gradul de certitudine al fiecărei concluzii, probele care o susțin și explicațiile alternative care au fost luate în calcul. Limbajul probabilistic - "datele sugerează", "este compatibil cu", "ipoteza necesită confirmare" - este mai corect decât afirmațiile categorice despre cine este autorul.

Profilarea poate ajuta la prioritizarea pistelor, la identificarea informațiilor care lipsesc, la compararea cazurilor, la formularea întrebărilor pentru interviu și la înțelegerea relației dintre autor și victimă. Poate sprijini și prevenția organizațională, mai ales în analiza riscurilor interne și a modului în care atacatorii exploatează comportamentul uman. Nu ar trebui însă folosită pentru a înlocui atribuirea tehnică, pentru a justifica stereotipuri demografice sau pentru a transforma o probabilitate într-o acuzație.

Este necesară o colaborare reală între investigatori, specialiști în criminalistică digitală, psihologi, criminaliști și experți în securitate cibernetică. Nicio disciplină nu acoperă singură întregul fenomen. Datele tehnice fără înțelegerea comportamentului pot rămâne fragmentare, iar interpretarea comportamentală fără dovezi tehnice riscă să devină speculație.

O hartă nu este o persoană

Profilarea criminală poate aduce valoare investigațiilor cibernetice tocmai atunci când renunță la pretenția de a "citi" autorul din câteva semne. Ea nu este o scurtătură psihologică și nu produce certitudine acolo unde probele lipsesc. Este o metodă de organizare a informației, de formulare și testare a ipotezelor și de conectare prudentă a urmelor tehnice cu deciziile umane.

În lumea digitală, fiecare acțiune poate lăsa o urmă, dar urma nu are întotdeauna un singur autor și nici o singură explicație. Un profil bun nu închide investigația într-o poveste seducătoare. O menține deschisă către verificare, contradicție și dovezi noi.

Sursa de bază: Natasha Garcia, The Use of Criminal Profiling in Cybercrime Investigations, capstone project pentru programul Master of Science in Cybersecurity, Utica College, 2018. Articolul sintetizează critic ideile lucrării și nu reproduce textul acesteia.