Mouse jiggler: как да го разпознаете и защо преследването му не решава проблема

Ако таблото за мониторинг показва, че клавиатурата или мишката никога не замлъкват, дори в обедната почивка, виждате класическия „почерк“ на mouse jiggler. Този модел се забелязва лесно. По-трудно е да разберете защо служителят изобщо е почувствал нужда да симулира активност – а именно този втори въпрос е по-важният.

Mouse jiggler, или симулатор на движение на мишката, е малко устройство или програма, която премества курсора или симулира натискане на клавиши през определени интервали, за да не се отчита компютърът като неактивен. Някои са малки USB устройства, други – малки платформи, върху които се поставя мишката, трети – чист софтуер. Целта винаги е една и съща: статусът да остане зелен, докато никой не работи. С разпространението на работата от разстояние темата все по-често стига и до българските работодатели.

Това ръководство разглежда и двете страни на проблема. Първо техническата: как работят тези инструменти и какво реално се вижда, когато някой използва такъв. След това – и по-важното – защо откриването е само лесните 10% от задачата, как изглеждат останалите 90% и какво трябва да съобразят работодателите в България от правна гледна точка.

Какво всъщност прави mouse jiggler

Хардуерният jiggler обикновено е USB устройство с размер на малък донгъл. Операционната система го регистрира като устройство с човешки интерфейс (Human Interface Device, HID) – същия клас като всяка клавиатура или мишка – и то изпраща през равни интервали малки сигнали за движение или щракване. Софтуерните варианти правят същото без хардуер: скрипт във фонов режим премества курсора с един пиксел или натиска безобиден клавиш през зададени интервали. Има и чисто механични модели, които физически побутват мишката и изобщо не се появяват като отделно устройство.

Всички варианти съществуват по една причина: да заобиколят отчитането на неактивност. Статусът „отсъства“ в Teams или Slack, автоматичното заключване на екрана и някои инструменти за мониторинг реагират едва след известен период без въвеждане. Jiggler-ът премахва точно този сигнал – без да се върши никаква работа.

Как да разпознаете mouse jiggler: сигнали, които заслужават втори поглед

Нито един сигнал сам по себе си не доказва, че някой използва jiggler. Някои модели обаче заслужават по-внимателен поглед, преди да направите каквито и да е изводи.

• Ритъм на метроном. Истинското движение на мишката е неравномерно: серии, паузи, корекции. Курсор, който се измества с едно и също малко разстояние на подозрително равни интервали – например на всеки 30 до 60 секунди – изглежда механично. Издава го не самото движение, а неговата равномерност.
• Движение без резултат. Курсорът се движи, но нито един прозорец не се сменя, нито един документ не се превърта, нито едно щракване не попада никъде. Движението без никакъв ефект е най-силната отделна улика.
• Активност, която никога не спада. Всеки работен ден има естествени паузи – телефонен разговор, кафе, обедна почивка. Статус, който показва непрекъсната активност през цялата осемчасова смяна без нито един спад, е по-подозрителен от такъв с нормални почивки.
• Канали, които не си съвпадат. Има активност на курсора, но превключването между приложения, активността в уебсайтове или в месинджърите от същия компютър е равна линия. Истинската работа почти винаги оставя следи в повече от един канал едновременно.

Нито един от тези сигнали не е достатъчен сам по себе си за обвинение. Те са повод за разговор – не за дисциплинарно наказание.

Къде техническото откриване удря в стена

Тази част повечето ръководства я прескачат. Тя обаче е важна, защото показва какво реалистично може да даде техническото откриване.

Операционните системи не са създадени да откриват jiggler устройства. Windows записва кога е свързано ново устройство (например във „Визуализатор на събития“), а чрез групови правила или контрола на устройствата в Microsoft Defender може да се ограничи кои USB устройства могат да се инсталират. Това обаче показва устройства, а не дали дадено въвеждане идва от човек – и нищо от това не се вижда в „Диспечер на задачите“. В macOS можете да проверите изпълняваните процеси в „Монитор на активността“ (Activity Monitor), а фоновите елементи, които се зареждат при влизане – в системните настройки (System Settings) или с инструмента за команден ред sfltool; в най-добрия случай така ще откриете софтуерен jiggler, но никога хардуерен. Нито една от масовите операционни системи няма вграден детектор за jiggler.

Хардуерните варианти допълнително усложняват нещата. Тъй като се регистрират като стандартни HID устройства, по принцип могат да бъдат разпознати по идентификаторите на производителя и на продукта (vendor ID и product ID). ИТ отделът може да ограничи инсталирането на софтуер само до администраторите, да разрешава само регистрирани входни устройства или да получава известие, когато се свърже ново USB входно устройство. Списъкът за блокиране обаче спира само устройствата, които вече са вписани в него – а механичните модели под мишката изобщо не се появяват като устройство. Софтуерните jiggler-и са още по-трудни: на ниво въвеждане скрипт, който мести курсора с един пиксел, почти не се различава от човек, който леко е докоснал мишката си. Windows вътрешно маркира генерираните от софтуер въвеждания като „инжектирани“, но същата маркировка носят и легитимни инструменти като отдалечения работен плот или помощните технологии за достъпност, а и тя може да бъде заобиколена – сама по себе си не доказва нищо.

Това е практическият таван: откриването само на ниво въвеждане винаги ще дава както фалшиви тревоги, така и пропуснати случаи, защото операционната система не може със сигурност да различи „машина премести това“ от „човек едва го докосна“. Да третирате сигнал за jiggler като доказателство е грешка, независимо от платформата.

Защо контекстът казва повече от записите на мишката – и какво позволява законът в България

Ако записите на курсора и клавиатурата не могат да решат въпроса, какво може? Контекстът. Екранна снимка от съмнителния период показва дали наистина е бил отворен документ, по който се е работило, дали дадено приложение е било на преден план и в употреба, или през цялото време екранът е показвал заключване или празен работен плот, докато jiggler-ът е поддържал статуса зелен.

Точно тук симулацията се проваля: jiggler може да заблуди таймера за неактивност, но не може да накара документ да изглежда редактиран или раздел в браузъра да изглежда активен, ако нищо от това не е вярно. Данните за въвеждане показват движение; активността на програмите и екранните снимки показват съдържание. Двата източника отговарят на различни въпроси.

В България обработването на данни на служителите се урежда от Общия регламент относно защитата на данните (ОРЗД) и от Закона за защита на личните данни (ЗЗЛД), а надзорен орган е Комисията за защита на личните данни (КЗЛД). Чл. 25и ЗЗЛД изрично задължава работодателя да приеме и прилага правила и процедури, когато ограничава използването на вътрешнофирмените ресурси и когато въвежда системи за контрол на достъпа, работното време и трудовата дисциплина. Тези правила трябва да определят обхвата, задълженията и начина на прилагане, да съответстват на дейността на работодателя и на характера на работата, не могат да ограничават правата на служителите по ОРЗД, а служителите трябва да бъдат запознати с тях. Синдикалните органи в предприятието имат право да участват в подготовката на вътрешните правилници, свързани с трудовите отношения (чл. 37 от Кодекса на труда). На практика това означава, че екранните снимки и данните за активност се преглеждат по конкретен повод, пропорционално и в рамките на обявените правила; при систематично наблюдение може да е необходима и оценка на въздействието върху защитата на данните (чл. 35 ОРЗД).

С CleverControl ръководителят може да прегледа съмнителния период в защитения уеб акаунт и да съпостави екранните снимки с активността в програми и уебсайтове, записана за същия интервал. Ако курсорът се е движил, а екранът часове наред е показвал празен работен плот или недокоснато приложение, тази комбинация казва много повече от всеки запис на курсора. Каквото и да се събира обаче, то трябва да съответства на правилата, с които служителите са запознати.

Истинският въпрос: защо някой посяга към jiggler?

Това е най-важният раздел – и точно този, който чисто техническият отговор пропуска. Jiggler-ът не е причина. Той е реакция на нещо – обикновено на система, която служителят смята за несправедлива, неясна или невъзможна за честно изпълнение.

Ето за какво всъщност свидетелства появата на jiggler:

• KPI, който измерва присъствие, а не резултати. Ако показателят, по който се преценява дали някой изглежда продуктивен, е „движила ли се е мишката“, вие сте създали стимул движението да се симулира. Това не е нечестност във вакуум, а предвидима реакция на лошо избран показател.
• Несъответствие в натоварването. Човек, чиито реални задачи отнемат четири часа на ден, но от когото се очакват осем часа видима активност, има стимул да „произведе“ останалите четири. Jiggler-ът е последствие от разговора за натоварването, който никой не е провел.
• Недоверие към самия мониторинг. Ако хората вярват, че всяка неактивност ще бъде наказана, независимо дали работата е свършена, симулирането на активност става рационалният ход – дори за някого, който иначе се справя добре.
• Реално намерение за измама. И това се случва: някой просто не работи и иска да го скрие. Това е реално, но е едно от няколко обяснения, а не предположението по подразбиране.

Ръководител, който третира всеки сигнал като доказателство за последното обяснение и прескача първите три, няма да поправи нищо. Още по-лошо – ще научи останалите в екипа, че най-сигурният отговор на сгрешен KPI е да се крият по-добре, а не да поставят проблема. Затова, преди да търсите виновник, потърсете причината.

Пропорционална реакция: какво да направите на практика

Ето работеща последователност, когато пред вас има съмнителен модел:

1. Потвърдете модела, преди да назовете причината. Прегледайте контекста за съмнителния период – в рамките на това, което позволяват вашите правила. Изключете технически фалшиви сигнали: планирана задача, „забил“ скрипт, легитимен инструмент за достъпност.
2. Проверете KPI, а не само служителя. Запитайте се дали целите на длъжността се измерват с видима активност, с резултати или с двете. Ако отговорът е „най-вече с активност“, това е вероятната причина – и тя засяга целия екип, а не един човек.
3. Първо разговор, после мерки. Започнете с наблюдението, а не със заключение: „Забелязах, че записите показват непрекъснато въвеждане в периоди, когато екранът изглежда неактивен – можете ли да ми обясните какво се е случвало?“ Така получавате информация. Обвинението ви носи само защита.
4. Разграничете двата случая. Ако се окаже, че проблемът е в натоварването или в KPI, решението е промяна на правилата: коригирайте показателя, преразпределете работата или изяснете какво означава „продуктивен“ за тази длъжност. Ако се окаже нарушение на трудовата дисциплина, приложете дисциплинарната процедура по Кодекса на труда: преди да наложи наказание, работодателят е длъжен да изслуша служителя или да приеме писмените му обяснения (чл. 193 КТ), а мярката трябва да съответства на това, което реално можете да докажете.
5. Коригирайте стимула, а не само инцидента. Ако jiggler се появява, защото системата ви възнаграждава вида на заетост, един разговор с един служител няма да спре следващия да посегне към същото решение. Преразгледайте какво всъщност измерва вашият мониторинг.

Тук прозрачността постига повече от всяко откриване. Служители, които знаят какво се измерва и какво ръководителят може и не може да види, по-рядко предполагат най-лошото и по-често поставят проблема с натоварването директно, вместо тихо да го заобикалят. Как да постигнете това на практика, обясняваме в статиите си за това как да информирате служителите за мониторинга и за етиката на мониторинга на служители. Неясната политика е точно пролуката, която jiggler устройствата използват.

Култура, която няма нужда от jiggler

Най-трайното решение не е по-добър метод за откриване. То е да премахнете причината, поради която някой би искал такъв инструмент.

• Измервайте резултати, където е възможно. Предадена работа, време за отговор, приключени задачи – всичко, което е по-близо до реалния резултат, отколкото до движението на курсора.
• Оповестете политиката за мониторинг. Кажете ясно какво се проследява и защо и се уверете, че целта е проверка на резултатите и подкрепа на екипа, а не „хващане“ на хора.
• Проверявайте проверяващите. Периодично проверявайте дали ръководителите използват данните за активност пропорционално, вместо да третират всеки период на неактивност като подозрителен. Прекомерната реакция на нормалните паузи учи хората да ги крият.
• Нормализирайте почивките. Ако политиката ви мълчаливо наказва всеки спад в активността, вие сте създали точно стимула, на който отговаря jiggler.

В България правилата по чл. 25и ЗЗЛД за системите за контрол на работното време са естественото място да опишете какво точно се измерва и с каква цел. Ясното и прозрачно отчитане на работното време е много по-добър ориентир от зелена точка в чата – и обезсмисля jiggler-а.

Екип, който има доверие в показателя, няма нужда да го фалшифицира. Този проблем се решава по-евтино, отколкото гонитбата на всеки нов модел jiggler, който се появи на пазара. За целта са нужни три неща: политика, която казва какво се измерва и защо; KPI, който отразява реалния резултат, а не просто присъствието; и ръководители, обучени да започват разговора за съмнителен модел с въпрос, а не с присъда. Когато тези три неща са налице, техническата надпревара около откриването до голяма степен губи значение.

Често задавани въпроси

Незаконно ли е да се използва mouse jiggler?
Самото устройство не е забранено. Значение имат трудовият договор, правилникът за вътрешния трудов ред и вътрешните правила на работодателя. Ако jiggler се използва, за да създаде впечатление за работа, която не се извършва, това може да бъде квалифицирано като нарушение на трудовата дисциплина, за което Кодексът на труда предвижда наказанията „забележка“, „предупреждение за уволнение“ и „уволнение“ (чл. 188 КТ). Дали това е така в конкретния случай, зависи от тежестта на нарушението, от доказателствата и от спазването на процедурата.

Може ли софтуерът за мониторинг да открие mouse jiggler автоматично?
Някои програми автоматично отбелязват необичайни модели на активност, а обобщенията на активността правят отклоненията видими – но отклонението не е потвърден отговор. Ръководителят все пак трябва да прегледа контекста, за да прецени дали моделът наистина е механичен, или е просто необичайно спокоен, но истински работен ден. Ако третирате сигнала като автоматично доказателство, прескачате точно стъпката, която изяснява какво се е случило.

Достатъчно ли е служителите да подпишат декларация за съгласие с наблюдението?
Обикновено не. Заради зависимостта между служител и работодател съгласието в трудовите отношения трудно може да се смята за свободно дадено; според насоките на европейските надзорни органи относно съгласието при повечето обработвания на данни в работна среда правното основание не може и не бива да бъде съгласието на служителите. Наблюдението обикновено се основава на друго правно основание, например легитимен интерес, при спазване на правилата по чл. 25и ЗЗЛД, на принципа на пропорционалност и на задължението за информиране.

Какво да кажа на служител, ако подозирам jiggler?
Започнете с това, което сте забелязали, а не със заключение: опишете конкретния модел в записите и го помолете да го обясни. Така получавате обяснение вместо защитна реакция и оставяте място отговорът да се окаже проблем с натоварването, а не нечестност.

Хардуерните jiggler-и по-лесно ли се блокират от софтуерните?
Донякъде. USB jiggler устройствата се регистрират като входни устройства с разпознаваеми кодове на производителя и продукта, които ИТ отделът по принцип може да блокира или да изключи чрез списък на разрешените устройства – но новите модели се появяват по-бързо, отколкото се обновяват списъците. Чисто механичните модели изобщо не се виждат технически, а софтуерните симулират въвеждане на ниво, което трудно се различава от лека, истинска употреба на мишката.

Как да разбера дали истинският проблем е в моя KPI, а не в служителя?
Ако показателят, по който се оценява някой, възнаграждава видимата активност вместо свършената работа, това е силен сигнал, че първо трябва да се коригира самият стимул, преди да се занимавате с отделния случай. Проверете дали и други хора, оценявани по същия показател, показват подобни модели: модел в целия екип сочи системата, а не човека.

Трябва ли да информирам служителите, преди да въведа мониторинг?
Да. ОРЗД (чл. 13) изисква ясна и предварителна информация за това какви данни се събират, с каква цел и на какво правно основание. Чл. 25и ЗЗЛД изисква служителите да бъдат запознати с правилата и процедурите за системите за контрол на достъпа, работното време и трудовата дисциплина, а синдикалните органи в предприятието имат право да участват в подготовката на вътрешните правилници (чл. 37 КТ). Повече подробности ще намерите в статията ни за изискванията на ОРЗД при мониторинга на служители. Преди да въведете каквато и да е политика за мониторинг, проверете конкретните изисквания за вашата организация с юрист.

Забележка: тази статия дава общ преглед и не замества правната консултация по конкретния случай.