Jak wykryć mouse jiggler – i dlaczego polowanie na niego nie rozwiązuje prawdziwego problemu

Jeśli panel monitoringu pokazuje, że mysz czy klawiatura nie zamierają nawet w przerwie na lunch, widzą Państwo klasyczny ślad mouse jigglera. Taki wzorzec łatwo zauważyć. Trudniej zrozumieć, dlaczego ktoś w ogóle poczuł potrzebę udawania aktywności – a to drugie pytanie jest ważniejsze niż pierwsze.

Mouse jiggler, czyli symulator ruchu myszy, to niewielkie urządzenie lub program, który co jakiś czas przesuwa kursor albo symuluje naciśnięcia klawiszy, żeby komputer nie był uznawany za bezczynny. Niektóre to małe urządzenia USB, inne – podstawki, na których kładzie się mysz, jeszcze inne to zwykłe oprogramowanie. Cel jest zawsze ten sam: status pozostaje zielony, choć nikt nie pracuje. Odkąd praca zdalna i hybrydowa stały się w wielu firmach codziennością, temat regularnie wraca.

Ten poradnik omawia obie strony problemu. Najpierw technikę: jak działają takie narzędzia i co faktycznie widać, gdy ktoś z nich korzysta. Potem – co ważniejsze – dlaczego wykrycie jigglera to tylko łatwe 10% pracy, jak wygląda pozostałe 90% i co pracodawcy w Polsce muszą wziąć pod uwagę od strony prawnej.

Co właściwie robi mouse jiggler

Sprzętowy jiggler to zwykle urządzenie USB wielkości małego klucza sprzętowego. System operacyjny rozpoznaje go jako urządzenie interfejsu HID (Human Interface Device) – tę samą klasę co każda klawiatura czy mysz – a jiggler w stałych odstępach wysyła drobne sygnały ruchu lub kliknięcia. Jigglery programowe robią to samo bez sprzętu: skrypt działający w tle przesuwa kursor o piksel albo co jakiś czas naciska neutralny klawisz. Istnieją też modele czysto mechaniczne, które fizycznie poruszają myszą i w ogóle nie pojawiają się w systemie jako osobne urządzenie.

Wszystkie istnieją z jednego powodu: mają obejść wykrywanie bezczynności. Status „Nieobecny” w Teams czy Slacku, automatyczna blokada ekranu i część narzędzi do monitoringu reagują dopiero wtedy, gdy przez pewien czas nie ma żadnych danych wejściowych. Jiggler usuwa właśnie ten sygnał – bez wykonania jakiejkolwiek pracy.

Jak wykryć mouse jiggler: sygnały warte sprawdzenia

Żaden pojedynczy sygnał nie dowodzi, że ktoś używa jigglera. Niektóre wzorce warto jednak obejrzeć dokładniej, zanim wyciągnie się wnioski.

• Rytm metronomu. Prawdziwe ruchy myszy są nieregularne: zrywy, przerwy, poprawki. Kursor, który przesuwa się o ten sam niewielki odcinek w podejrzanie równych odstępach – na przykład co 30–60 sekund – wygląda mechanicznie. Zdradza go nie sam ruch, lecz jego regularność.
• Ruch bez efektu. Kursor się porusza, ale żadne okno się nie zmienia, żaden dokument się nie przewija, żadne kliknięcie niczego nie uruchamia. Ruch bez jakiegokolwiek skutku to najsilniejsza pojedyncza wskazówka.
• Aktywność bez żadnego spadku. Każdy dzień pracy ma naturalne przerwy: telefon, kawa, lunch. Status, który przez osiem godzin pokazuje nieprzerwaną aktywność, jest bardziej podejrzany niż taki ze zwykłymi przerwami.
• Kanały, które do siebie nie pasują. Kursor jest aktywny, ale przełączania aplikacji, aktywności w przeglądarce czy komunikatorze prawie nie widać. Prawdziwa praca niemal zawsze zostawia ślady w kilku kanałach jednocześnie.

Żaden z tych sygnałów sam w sobie nie uzasadnia zarzutu. To powód do rozmowy, a nie do kary porządkowej.

Gdzie techniczne wykrywanie napotyka granice

Tę część pomija większość poradników. Jest jednak ważna, bo pokazuje, czego realnie można oczekiwać od technicznego wykrywania.

Systemy operacyjne nie zostały zaprojektowane do wykrywania jigglerów. Windows rejestruje podłączenie nowego urządzenia (na przykład w Podglądzie zdarzeń), a zasady grupy lub kontrola urządzeń w Microsoft Defender pozwalają ograniczyć, które urządzenia USB można instalować. To jednak informacja o urządzeniach, a nie o tym, czy dane wejściowe pochodzą od człowieka, a w Menedżerze zadań nic z tego nie widać. W macOS można sprawdzić uruchomione procesy w Monitorze aktywności, a elementy ładowane przy logowaniu – w Ustawieniach systemowych lub za pomocą narzędzia wiersza poleceń sfltool; w najlepszym razie znajdzie się w ten sposób jiggler programowy, nigdy sprzętowy. Żaden z popularnych systemów operacyjnych nie ma wbudowanego wykrywacza jigglerów.

Jigglery sprzętowe dodatkowo komplikują sprawę. Ponieważ rejestrują się jako standardowe urządzenia HID, w zasadzie można je zidentyfikować po identyfikatorach producenta i produktu. Dział IT może ograniczyć instalowanie oprogramowania do administratorów, dopuszczać tylko zarejestrowane urządzenia wejściowe albo otrzymywać powiadomienie, gdy zostanie podłączone nowe urządzenie wejściowe USB. Lista blokowanych urządzeń zatrzymuje jednak tylko te, które już na nią wpisano, a mechaniczne modele pod myszą w ogóle nie pojawiają się jako urządzenie. Jigglery programowe są jeszcze trudniejsze: na poziomie danych wejściowych skrypt przesuwający kursor o piksel trudno odróżnić od człowieka, który lekko trącił mysz. Windows wprawdzie oznacza wewnętrznie dane wejściowe generowane programowo jako „wstrzyknięte”, ale tę samą flagę mają legalne narzędzia, takie jak pulpit zdalny czy oprogramowanie ułatwień dostępu, a do tego da się ją obejść – sama w sobie niczego nie dowodzi.

To praktyczna granica: wykrywanie wyłącznie na poziomie danych wejściowych zawsze będzie dawać zarówno fałszywe alarmy, jak i przeoczone przypadki, bo system operacyjny nie potrafi z pewnością odróżnić sytuacji „to poruszyła maszyna” od „człowiek ledwo dotknął myszy”. Traktowanie alertu o jigglerze jako dowodu jest błędem na każdej platformie.

Dlaczego kontekst mówi więcej niż logi myszy – i na co pozwala polskie prawo

Skoro logi kursora i klawiatury nie rozstrzygają sprawy, co ją rozstrzyga? Kontekst. Zrzut ekranu z podejrzanego przedziału czasu pokazuje, czy rzeczywiście był otwarty dokument i czy ktoś nad nim pracował, czy aplikacja na pierwszym planie była używana – czy może przez cały czas widać było ekran blokady albo pusty pulpit, podczas gdy jiggler utrzymywał zielony status.

Właśnie tu symulacja się sypie: jiggler może oszukać licznik bezczynności, ale nie sprawi, że dokument będzie wyglądał na edytowany, a karta przeglądarki na aktywną, jeśli tak nie jest. Dane wejściowe pokazują ruch, a aktywność aplikacji i zrzuty ekranu – treść. Te dwa źródła odpowiadają na różne pytania.

W Polsce ramy wyznacza Kodeks pracy. Art. 22³ pozwala pracodawcy wprowadzić kontrolę służbowej poczty elektronicznej, jeśli jest to niezbędne do zapewnienia organizacji pracy umożliwiającej pełne wykorzystanie czasu pracy oraz właściwego użytkowania udostępnionych narzędzi pracy – bez naruszania tajemnicy korespondencji i innych dóbr osobistych pracownika. Te same zasady stosuje się odpowiednio do innych form monitorowania (art. 22³ § 4), w praktyce także do programów rejestrujących aktywność na komputerze. Cele, zakres i sposób monitoringu trzeba określić w układzie zbiorowym pracy, regulaminie pracy albo obwieszczeniu, a pracowników poinformować najpóźniej 2 tygodnie przed jego uruchomieniem; nowe osoby otrzymują tę informację w postaci papierowej lub elektronicznej przed dopuszczeniem do pracy. Do tego dochodzi RODO – obowiązek informacyjny, minimalizacja danych i proporcjonalność – oraz nadzór Prezesa Urzędu Ochrony Danych Osobowych (UODO). Przy pracy zdalnej zasady kontroli wykonywania pracy ustala się co do zasady w porozumieniu z zakładową organizacją związkową albo w regulaminie (art. 67²⁰ Kodeksu pracy). Zrzuty ekranu i dane o aktywności warto więc przeglądać z konkretnego powodu i tylko w zakresie opisanym w tych dokumentach.

Z CleverControl przełożony może sprawdzić dany przedział czasu na zabezpieczonym koncie internetowym i zestawić zrzuty ekranu z aktywnością aplikacji i stron internetowych z tego samego okresu. Jeśli kursor się poruszał, a na ekranie przez wiele godzin widać pusty pulpit albo nietkniętą aplikację, takie zestawienie powie znacznie więcej niż jakikolwiek log kursora. Zakres zbieranych danych powinien przy tym odpowiadać temu, co zapisano w regulaminie pracy lub obwieszczeniu.

Prawdziwe pytanie: dlaczego ktoś sięga po jiggler?

To najważniejsza część – i dokładnie ta, którą czysto techniczna odpowiedź pomija. Jiggler nie jest przyczyną. Jest reakcją na coś, najczęściej na system, który pracownik uważa za niesprawiedliwy, niejasny albo niemożliwy do uczciwego spełnienia.

O czym tak naprawdę świadczy pojawienie się jigglera:

• KPI, który mierzy obecność, a nie wyniki. Jeśli wskaźnik, według którego ktoś wygląda na produktywnego, sprowadza się do pytania „czy mysz się ruszała?”, powstaje zachęta do udawania ruchu myszy. To nie nieuczciwość w próżni, lecz przewidywalna reakcja na źle dobraną miarę.
• Niedopasowane obciążenie pracą. Ktoś, kto realizuje swoje zadania w cztery godziny dziennie, a ma wykazywać osiem godzin widocznej aktywności, dostaje zachętę, by „wyprodukować” pozostałe cztery. Jiggler jest skutkiem rozmowy o obciążeniu, której nikt nie przeprowadził.
• Brak zaufania do samego monitoringu. Jeśli ludzie wierzą, że każda bezczynność zostanie ukarana – niezależnie od tego, czy praca została wykonana – udawanie aktywności staje się racjonalną strategią, nawet dla kogoś, kto dobrze wykonuje swoje obowiązki.
• Rzeczywisty zamiar oszustwa. To też się zdarza: ktoś po prostu nie pracuje i chce to ukryć. To realny scenariusz, ale jedno z kilku wyjaśnień, a nie domyślne założenie.

Przełożony, który każdy alert traktuje jako dowód ostatniego wyjaśnienia i pomija trzy pierwsze, niczego nie naprawi. Co gorsza, nauczy resztę zespołu, że najbezpieczniejszą odpowiedzią na wadliwy KPI jest lepsze ukrywanie się, a nie zgłoszenie problemu. Jak wykryć kradzież czasu pracy, nie wpadając w tę pułapkę, wyjaśniamy w osobnym poradniku.

Proporcjonalna reakcja: co konkretnie zrobić

Praktyczny schemat działania, gdy pojawi się podejrzany wzorzec:

1. Potwierdzić wzorzec, zanim nazwie się przyczynę. Sprawdzić kontekst z danego przedziału czasu – w granicach tego, na co pozwala regulamin. Wykluczyć techniczne fałszywe alarmy: zaplanowane zadanie, zawieszony skrypt, legalne narzędzie ułatwień dostępu.
2. Sprawdzić KPI, a nie tylko człowieka. Zapytać, czy cele na danym stanowisku mierzy się widoczną aktywnością, wynikami czy jednym i drugim. Jeśli odpowiedź brzmi „głównie aktywnością”, to jest prawdopodobna przyczyna – i dotyczy całego zespołu, a nie jednej osoby.
3. Najpierw rozmowa, potem konsekwencje. Zacząć od obserwacji, a nie od wniosku: „W logach widać ciągłe dane wejściowe w okresach, gdy ekran wygląda na nieaktywny. Proszę mi pomóc zrozumieć, co się wtedy działo”. To daje informacje. Zarzut daje tylko obronę.
4. Rozdzielić dwa scenariusze. Jeśli wyjdzie problem z obciążeniem lub KPI, trzeba zmienić zasady: dostosować wskaźnik, inaczej rozdzielić pracę, wyjaśnić, co na tym stanowisku znaczy „produktywnie”. Jeśli wyjdzie naruszenie obowiązków, obowiązuje ścieżka z Kodeksu pracy: karę porządkową (upomnienie, naganę) można zastosować tylko po uprzednim wysłuchaniu pracownika (art. 109 § 2), a rozwiązanie umowy bez wypowiedzenia wymaga ciężkiego naruszenia podstawowych obowiązków pracowniczych (art. 52 § 1 pkt 1) i zasięgnięcia opinii zakładowej organizacji związkowej reprezentującej pracownika. Zawsze proporcjonalnie do tego, co da się udokumentować.
5. Naprawić zachętę, a nie tylko incydent. Jeśli jiggler pojawia się, bo system nagradza wyglądanie na zajętego, jedna rozmowa z jedną osobą nie powstrzyma następnej przed sięgnięciem po to samo obejście. Warto przyjrzeć się temu, co monitoring faktycznie mierzy.

Tu przejrzystość daje więcej niż jakiekolwiek wykrywanie. Pracownicy, którzy wiedzą, co jest mierzone i co przełożony widzi, a czego nie, rzadziej zakładają najgorsze i częściej wprost zgłaszają problem z obciążeniem, zamiast po cichu go obchodzić. Jak to osiągnąć w praktyce, pokazujemy w artykułach o tym, jak informować pracowników o monitoringu, oraz o etyce monitorowania pracowników. Niejasne zasady to dokładnie ta luka, którą wykorzystują jigglery.

Kultura, w której jigglery nie są potrzebne

Najtrwalszym rozwiązaniem nie jest lepsza metoda wykrywania, tylko usunięcie powodu, dla którego ktokolwiek chciałby z jigglera korzystać.

• Mierzyć wyniki, gdzie się da. Rezultaty pracy, czas reakcji, zamknięte zadania – wszystko, co jest bliżej rzeczywistej pracy niż ruchu kursora.
• Jawnie komunikować zasady monitoringu. Jasno powiedzieć, co jest rejestrowane i po co, i zadbać, by chodziło o weryfikację wyników i wspieranie zespołu, a nie o przyłapywanie ludzi.
• Kontrolować kontrolujących. Regularnie sprawdzać, czy przełożeni korzystają z danych o aktywności proporcjonalnie, zamiast traktować każdą chwilę bezczynności jako podejrzaną. Przesadna reakcja na zwykłe przerwy uczy ludzi je ukrywać.
• Uznać przerwy za normalne. Jeśli zasady po cichu karzą każdy spadek aktywności, powstaje dokładnie ta zachęta, na którą odpowiada jiggler.

W Polsce dobry punkt oparcia już istnieje. Pracodawca i tak musi prowadzić ewidencję czasu pracy (art. 149 Kodeksu pracy), a przy pracy zdalnej porozumienie lub regulamin określa m.in. zasady porozumiewania się z pracownikiem – w tym sposób potwierdzania obecności na stanowisku pracy – oraz zasady kontroli wykonywania pracy (art. 67²⁰ § 6). To właściwe miejsce, by ustalić cele, rytm kontaktu i przejrzyste rejestrowanie czasu pracy, zamiast traktować zieloną kropkę w komunikatorze jako miarę pracy.

Zespół, który ufa wskaźnikowi, nie musi go fałszować. Rozwiązanie tego problemu kosztuje mniej niż pogoń za każdym nowym modelem jigglera, który pojawia się na rynku. Potrzebne są do tego trzy rzeczy: zasady, które mówią, co jest mierzone i dlaczego; KPI, który odzwierciedla rzeczywiste wyniki, a nie samą obecność; oraz przełożeni, którzy na podejrzany wzorzec reagują pytaniem, a nie wyrokiem. Gdy te trzy elementy są na miejscu, techniczny wyścig o wykrywanie w dużej mierze traci znaczenie.

Najczęściej zadawane pytania

Czy używanie mouse jigglera jest legalne?
Samo urządzenie nie jest zakazane. Liczą się umowa o pracę, regulamin pracy i wewnętrzne zasady monitoringu. Jeśli jiggler służy do udawania pracy, która nie jest wykonywana, może to zostać uznane za naruszenie obowiązków pracowniczych, w tym obowiązku sumiennego wykonywania pracy i przestrzegania czasu pracy. W grę wchodzi wtedy kara porządkowa, a w poważnych przypadkach nawet rozwiązanie umowy bez wypowiedzenia z art. 52 § 1 pkt 1 Kodeksu pracy. Czy tak jest w konkretnej sprawie, zależy od okoliczności i dowodów – także od tego, czy zostały zebrane zgodnie z przepisami o monitoringu.

Czy oprogramowanie do monitoringu może automatycznie wykryć mouse jiggler?
Niektóre programy automatycznie oznaczają nietypowe wzorce aktywności, a zestawienia aktywności uwidaczniają anomalie – ale anomalia to jeszcze nie potwierdzona odpowiedź. Przełożony nadal musi sprawdzić kontekst, żeby ocenić, czy wzorzec jest rzeczywiście mechaniczny, czy to po prostu spokojniejszy, ale prawdziwy dzień pracy. Kto traktuje alert jako automatyczny dowód, pomija dokładnie ten krok, który wyjaśnia, co się stało.

Czy pracodawca może monitorować komputer pracownika zdalnego?
Tak, ale na tych samych zasadach co w biurze. Zasady kontroli pracy zdalnej określa co do zasady porozumienie z zakładową organizacją związkową albo regulamin (art. 67²⁰ § 6 Kodeksu pracy), a monitorowanie aktywności na komputerze musi mieścić się w celach z art. 22³, nie może naruszać tajemnicy korespondencji ani innych dóbr osobistych i wymaga wcześniejszego poinformowania pracowników. Monitoring niezapowiedziany albo szerszy niż opisany w regulaminie naraża pracodawcę na zarzut naruszenia Kodeksu pracy i RODO.

Co powiedzieć pracownikowi, jeśli podejrzewa się jiggler?
Zacząć od tego, co zostało zaobserwowane, a nie od wniosku: opisać konkretny wzorzec w logach i poprosić o wyjaśnienie. Tak uzyskuje się wyjaśnienie zamiast reakcji obronnej, a jednocześnie zostawia miejsce na to, że odpowiedzią okaże się problem z obciążeniem pracą, a nie nieuczciwość.

Czy jigglery sprzętowe łatwiej zablokować niż programowe?
Nieco łatwiej. Jigglery USB rejestrują się jako urządzenia wejściowe z identyfikowalnymi kodami producenta i produktu, które dział IT może w zasadzie zablokować albo wykluczyć listą dozwolonych urządzeń – nowe modele pojawiają się jednak szybciej, niż aktualizuje się listy. Modele mechaniczne są technicznie niewidoczne, a jigglery programowe symulują dane wejściowe na poziomie bardzo trudnym do odróżnienia od lekkiego, prawdziwego używania myszy.

Skąd wiadomo, że prawdziwym problemem jest KPI, a nie pracownik?
Jeśli wskaźnik, według którego ktoś jest oceniany, nagradza widoczną aktywność zamiast wykonanej pracy, to mocny sygnał, że najpierw trzeba naprawić zachętę. Warto sprawdzić, czy inne osoby oceniane tym samym wskaźnikiem wykazują podobne wzorce: wzorzec w całym zespole wskazuje na system, a nie na człowieka.

Czy trzeba uprzedzić pracowników przed wdrożeniem monitoringu?
Tak. Cele, zakres i sposób monitoringu muszą być określone w układzie zbiorowym pracy, regulaminie pracy lub obwieszczeniu, a pracownicy – poinformowani najpóźniej 2 tygodnie przed jego uruchomieniem; nowe osoby dostają tę informację w postaci papierowej lub elektronicznej przed dopuszczeniem do pracy. Dodatkowo obowiązuje obowiązek informacyjny z art. 13 RODO. Więcej piszemy w artykule o wymaganiach RODO dotyczących monitorowania pracowników. Konkretne wymogi dla Państwa firmy warto przed wdrożeniem skonsultować z prawnikiem.

Uwaga: ten artykuł ma charakter ogólnego przeglądu i nie zastępuje porady prawnej w indywidualnej sprawie.