Cyberprzemoc wobec dzieci: grooming, sextortion i deepfake

30 lipca 2026 roku CyberDefence24 opisał polski poradnik „Opowiem Ci o moim świecie”, przygotowany z myślą o rodzicach i opiekunach, którzy mają zapobiegać seksualnemu wykorzystywaniu dzieci w cyberprzestrzeni i reagować na takie przypadki. Materiał zaprezentowano podczas debaty w Senacie o normach, prawie i prewencji.

Najważniejsza myśl jest prosta: dla dziecka internet nie jest osobnym „wirtualnym światem”. Relacja, presja, upokorzenie albo szantaż zaczynające się w komunikatorze mają realne skutki. Jednocześnie umiejętność obsługi aplikacji nie oznacza umiejętności rozpoznania manipulacji, intencji dorosłego ani długoterminowych skutków udostępnienia materiału.

Co opublikowano 30 lipca

Artykuł CyberDefence24 przedstawia poradnik PKDP „Opowiem Ci o moim świecie” i wnioski z debaty senackiej. Wskazane zagrożenia obejmują:

grooming i stopniowe zdobywanie zaufania;
manipulację oraz presję;
seksting i szantaż seksualny;
naruszenie prywatności;
rozpowszechnienie intymnych materiałów;
tworzenie krzywdzących materiałów z użyciem AI;
podszywanie się pod rówieśnika;
wyszukiwanie ofiar w mediach społecznościowych, grach i czatach.

Najwyższa Izba Kontroli wcześniej wskazywała na brak skutecznej współpracy między instytucjami, potrzebę zmian systemowych, weryfikacji wieku oraz przejścia rodziców od roli wyłącznie kontrolującej do roli cyfrowego przewodnika.

To nie jest informacja o jednym nowym ataku ani konkretnej luce CVE. Jest to aktualizacja polskiej debaty i materiał do budowy realnego procesu ochrony.

Grooming nie zaczyna się od treści seksualnej

Sprawca może najpierw zachowywać się jak rówieśnik lub życzliwy znajomy. Rozmowa dotyczy gry, szkoły, muzyki, wyglądu albo problemów rodzinnych. Celem jest zbudowanie poczucia wyjątkowej relacji, przeniesienie kontaktu do mniej kontrolowanego kanału i stopniowe przesuwanie granic.

Wysokopoziomowy model procesu obejmuje:

odnalezienie publicznego profilu, serwera gry lub grupy;
dopasowanie tożsamości do zainteresowań dziecka;
budowę zaufania przez uwagę i pozorne wsparcie;
izolację rozmowy od rodziców lub rówieśników;
normalizowanie tajemnicy;
presję na materiał, spotkanie albo określone zachowanie;
kontrolę przez wstyd, groźbę lub szantaż.

Nie każda nowa znajomość przebiega w ten sposób. Sygnałem jest kombinacja: szybkie budowanie wyłączności, prośba o tajemnicę, zmiana platformy, presja i groźba konsekwencji.

Sextortion: materiał jako narzędzie kontroli

Sextortion polega na grożeniu publikacją prawdziwego lub sfabrykowanego materiału w celu wymuszenia kolejnych treści, pieniędzy albo działania. Raz przesłany plik może zostać zapisany, skopiowany i ponownie użyty po zakończeniu relacji.

Dziecko może obawiać się kary za samo wykonanie zdjęcia, dlatego milczy. Reakcja dorosłego ma krytyczne znaczenie. Pierwszy komunikat powinien potwierdzić, że odpowiedzialność za szantaż ponosi sprawca, a priorytetem jest bezpieczeństwo — nie ocena wcześniejszej decyzji dziecka.

Płacenie nie gwarantuje usunięcia materiału. Może potwierdzić sprawcy, że presja działa. Jednocześnie gwałtowne blokowanie bez zabezpieczenia podstawowych informacji może utrudnić zgłoszenie. Najbezpieczniej postępować według ustalonej procedury i nie podejmować samodzielnych prób „odgrywania się” na napastniku.

Materiał wygenerowany przez AI nadal krzywdzi

Do szantażu nie jest potrzebne prawdziwe intymne zdjęcie. Model generatywny może połączyć twarz lub publiczną fotografię z fałszywą sceną. Techniczna sztuczność obrazu nie zmniejsza presji społecznej i psychicznej.

Weryfikacja autentyczności bywa trudna, a detektory AI nie dają stuprocentowej pewności. Kompresja, screenshot, ponowne kadrowanie i filtr mogą zmienić wynik. Nie należy uzależniać pomocy dziecku od szybkiego udowodnienia, czy materiał jest syntetyczny.

Dla postępowania ważne są:

źródłowy adres lub konto;
czas publikacji;
identyfikator wiadomości lub posta;
nazwa platformy;
chronologia kontaktu;
oryginalny plik, jeżeli został już legalnie zabezpieczony przez właściwą osobę;
historia zgłoszeń i odpowiedzi platformy.

Nie należy kopiować materiału do prywatnych komunikatorów „w celu konsultacji” ani rozsyłać go wśród pracowników szkoły. Każda dodatkowa kopia zwiększa szkodę i ryzyko prawne.

Jak zabezpieczyć dowody bez powielania krzywdzącej treści

Zabezpieczenie dowodu nie oznacza tworzenia wielu kopii. W pierwszej kolejności można zachować:

nazwę profilu i unikalny identyfikator;
pełny URL;
datę, godzinę i strefę czasową;
tekst groźby;
identyfikatory wiadomości;
informacje o płatności lub portfelu;
listę kont, do których sprawca grozi wysyłką;
numer zgłoszenia na platformie.

Jeżeli screenshot jest konieczny, powinien obejmować kontekst i elementy identyfikujące, ale unikać ponownego eksponowania intymnej treści, o ile nie jest to potrzebne dla właściwych służb. Urządzenia nie należy „czyścić” przed konsultacją, ponieważ wiadomości znikające, cache i logi mogą mieć znaczenie.

Materiał można zgłosić platformie, właściwym organom oraz do oficjalnego polskiego punktu Dyżurnet.pl, który działa w ramach NASK i przyjmuje zgłoszenia nielegalnych treści. W sytuacji bezpośredniego zagrożenia życia lub planowanego spotkania potrzebna jest natychmiastowa pomoc odpowiednich służb.

Ochrona konta dziecka

Po przejęciu konta sprawca może podszywać się pod dziecko, czytać rozmowy, szantażować znajomych i odzyskiwać dostęp przez stare sesje. Plan techniczny powinien obejmować:

zmianę hasła z czystego urządzenia;
wylogowanie wszystkich sesji;
usunięcie nieznanych metod odzyskiwania;
włączenie MFA lub passkey;
sprawdzenie aplikacji mających dostęp OAuth;
przegląd reguł przekazywania poczty;
kontrolę połączonych urządzeń;
aktualizację systemu i aplikacji;
sprawdzenie menedżera haseł;
obserwację ponownych prób logowania.

Hasła nie powinny być współdzielone z kolegami ani partnerem. Rodzic również nie powinien przechowywać ich w notatce lub wiadomości. Wspólny dostęp awaryjny można rozwiązać funkcją rodzinną menedżera haseł albo bezpiecznym procesem odzyskiwania.

Ustawienia prywatności, które realnie zmniejszają powierzchnię

Warto wspólnie z dzieckiem przejrzeć:

kto może wysyłać prywatne wiadomości;
kto widzi listę znajomych;
możliwość dodawania do grup bez zgody;
widoczność numeru telefonu i e-maila;
udostępnianie lokalizacji;
geotagi zdjęć;
automatyczną synchronizację galerii;
dostęp aplikacji do kamery, mikrofonu i kontaktów;
publiczne archiwum starych postów;
pobieranie zdjęcia profilowego;
możliwość wyszukiwania konta po numerze.

Domyślne ustawienie „publiczne” zwiększa ilość materiału do zbudowania fałszywej tożsamości. Ograniczenie widoczności nie usuwa zagrożenia, ale zmniejsza dane dostępne sprawcy na początku.

Rodzic jako cyfrowy przewodnik, nie tajny administrator

Pełne, ukryte monitorowanie prywatnych rozmów może sprawić, że dziecko przeniesie kontakt do innej aplikacji i przestanie zgłaszać problem. Ochrona wymaga relacji, w której można powiedzieć o błędzie bez automatycznej utraty urządzenia i zaufania.

Dobre zasady są jawne:

jakie aplikacje wymagają zgody;
kiedy dorosły może sprawdzić urządzenie;
co zrobić po otrzymaniu groźby;
jak zweryfikować osobę poznaną online;
dlaczego nie wolno przesyłać intymnych materiałów;
komu dziecko może powiedzieć, jeśli obawia się reakcji rodzica;
kiedy potrzebne jest zgłoszenie do platformy lub służb.

Kontrola techniczna działa najlepiej, gdy dziecko rozumie jej cel i potrafi samodzielnie rozpoznać manipulację.

Szkoła i organizacja: minimalny proces reakcji

Szkoła, klub lub firma zatrudniająca rodziców nie powinny improwizować po pierwszym zgłoszeniu. Proces powinien określać:

jedną bezpieczną ścieżkę zgłoszenia;
osoby uprawnione do kontaktu z dzieckiem;
zasady minimalizacji danych;
zakaz przesyłania materiału między pracownikami;
sposób ochrony prywatności;
kontakt z opiekunem i właściwymi instytucjami;
procedurę wobec kont szkolnych;
dokumentowanie decyzji;
wsparcie psychologiczne i prawne.

Materiały edukacyjne nie mogą używać prawdziwych krzywdzących obrazów. Scenariusze szkoleniowe powinny opierać się na opisach i bezpiecznych przykładach.

Weryfikacja wieku a prywatność

NIK rekomenduje wdrożenie systemu weryfikacji wieku. Techniczny projekt takiego systemu musi uważać, aby nie stworzyć centralnej bazy dokumentów dzieci i ich aktywności.

Bezpieczniejszy model powinien dążyć do:

potwierdzania atrybutu „spełnia próg wieku” zamiast przekazywania pełnej daty urodzenia;
minimalizacji danych;
krótkiego czasu przechowywania;
oddzielenia dostawcy weryfikacji od historii użycia usług;
odporności na kradzież tożsamości;
dostępnej ścieżki dla dzieci bez standardowego dokumentu;
audytowalnego usuwania danych;
jasnego modelu odpowiedzialności.

Weryfikacja wieku nie zastępuje moderacji, bezpiecznych ustawień i edukacji. Sprawca może użyć konta osoby dorosłej albo przenieść rozmowę na inną platformę.

Jak platforma może projektować bezpieczniejszy produkt

Bezpieczeństwo nie powinno zależeć wyłącznie od dziecka. Platformy mogą ograniczać ryzyko przez:

prywatność jako ustawienie domyślne dla nieletnich;
ograniczenie wiadomości od nieznajomych;
wykrywanie szybkiego przenoszenia rozmowy poza platformę;
ostrzeżenia przed udostępnianiem lokalizacji;
utrudnienie masowego pobierania zdjęć;
szybkie blokowanie kont po wiarygodnym zgłoszeniu;
zachowanie dowodów dla legalnego procesu;
wykrywanie powtarzalnych kampanii sextortion;
bezpieczne zgłaszanie bez pokazywania materiału kolejnym moderatorom;
kontrolę nad indeksowaniem profilu przez wyszukiwarki.

Detekcja automatyczna może popełniać błędy. Dlatego potrzebna jest droga odwołania i człowiek podejmujący decyzję w sprawach wysokiego wpływu.

Plan pierwszych 24 godzin

Po ujawnieniu groomingu lub szantażu:

zapewnij dziecku bezpieczeństwo i spokojną reakcję;
ustal, czy planowane jest spotkanie albo bezpośrednie zagrożenie;
nie negocjuj i nie prowokuj sprawcy;
zachowaj identyfikatory, groźby i chronologię;
nie rozpowszechniaj materiału;
zgłoś konto oraz treść właściwym kanałem;
zabezpiecz konto i wyloguj sesje;
sprawdź inne platformy oraz urządzenia;
uprzedź osoby, do których sprawca może się podszywać;
zapewnij wsparcie długoterminowe, nie tylko techniczne.

Jeżeli materiał pojawił się w wielu miejscach, prowadź tabelę URL, daty zgłoszenia, numeru sprawy i wyniku. Dzięki temu wiadomo, które kopie usunięto i gdzie potrzebna jest eskalacja.

Co mogą zrobić pracodawcy

Temat nie jest „wyłącznie prywatny”. Pracownik reagujący na szantaż dziecka może być pod ogromną presją, używać służbowego urządzenia do zgłoszeń albo stać się celem wtórnej socjotechniki. Firma powinna zapewnić dyskretną ścieżkę pomocy bez żądania kopii materiału.

Szkolenie może obejmować:

bezpieczne zabezpieczenie konta;
rozpoznawanie podszycia i deepfake;
zgłaszanie incydentu rodzinnego dotykającego urządzenia służbowego;
ochronę danych dzieci w benefitach, HR i ubezpieczeniach;
reakcję helpdesku bez zawstydzania;
minimalizację danych w systemie zgłoszeń.

Szkolenia cyberbezpieczeństwa dla organizacji można dostosować do pracowników, rodziców, edukacji i helpdesku. Podstawowy poradnik znajdziesz również w artykule bezpieczeństwo dzieci w internecie.

Źródła a wnioski Breachroad

CyberDefence24 potwierdza prezentację poradnika, temat debaty i wskazane formy zagrożeń. PKDP publikuje materiał dla opiekunów, a NIK wskazuje problemy systemowe oraz rekomendacje. Źródła nie opisują jednego nowego incydentu ani technicznego produktu gwarantującego ochronę.

Procedura dowodowa, konfiguracja kont, wymagania dla platform i prywatności weryfikacji wieku są wnioskami Breachroad opartymi na dobrych praktykach bezpieczeństwa. Nie zastępują indywidualnej pomocy prawnej, psychologicznej ani działania właściwych służb.

Najważniejsze jest zaufanie: dziecko powinno móc zgłosić problem bez obawy, że pierwszą reakcją będzie kara. Technologia zmniejsza powierzchnię ataku, ale nie zastąpi relacji, edukacji i sprawnego procesu. Materiały edukacyjne dla całej rodziny i pracowników można rozwijać również w Akademii Breachroad oraz przewodniku po ochronie tożsamości. Organizacje projektujące moderację, klasyfikację lub weryfikację wieku z użyciem modeli powinny połączyć ochronę dzieci z zasadami bezpiecznego wdrażania AI.