Wyobraźmy sobie, że na forum pojawia się oferta: „Baza klientów firmy X – 200 euro”. Wiemy, że korzystaliśmy z tego serwisu i chcemy sprawdzić, czy nasze dane rzeczywiście wyciekły. Sprzedawca nie udostępnia wyszukiwarki ani pojedynczych rekordów. Żeby zobaczyć siebie, musimy kupić cały plik.

Intuicja podpowiada, że skoro płacimy za własne dane, nie robimy nic złego. W rzeczywistości nie kupujemy jednak własnego rekordu. Kupujemy kopię bazy zawierającej informacje o tysiącach innych ludzi i przekazujemy pieniądze osobie, która może zajmować się handlem skradzionymi materiałami.

„Moje dane” są tylko jednym wierszem

To podobny problem jak przy pobieraniu wycieku. Nasza motywacja dotyczy jednego rekordu, natomiast przedmiot transakcji może obejmować miliony rekordów. Po zakupie stajemy się posiadaczem cudzych danych, a jeśli baza zawiera hasła czy kody dostępu, pojawiają się dodatkowe kwestie wynikające z prawa karnego.

Polski Kodeks karny odnosi się m.in. do pozyskiwania haseł komputerowych, kodów dostępu i innych danych umożliwiających nieuprawniony dostęp do systemów, przy czym znaczenie mają cel i konkretne okoliczności działania. To kolejny powód, dla którego zakup losowego pakietu „combo list” z forum jest czymś zupełnie innym niż sprawdzenie własnego adresu w HIBP.

Pieniądze trafiają do rynku, którego ofiarą właśnie jesteś

Jest też problem etyczny, którego nie da się ominąć. Kupując bazę od przestępcy, tworzymy popyt na skradzione dane. Sprzedający otrzymuje potwierdzenie, że włamanie można monetyzować, a pieniądze mogą finansować kolejne działania.

To dokładnie ten sam mechanizm, przez który organy ścigania i instytucje zajmujące się cyberbezpieczeństwem odradzają płacenie okupów ransomware. Zapłata nie gwarantuje rozwiązania problemu, a jednocześnie wzmacnia ekonomiczny sens działalności przestępczej.

A jeśli kupuje firma, żeby zbadać własny wyciek?

Tu sytuacja jest bardziej skomplikowana. Przedsiębiorstwo może mieć realną potrzebę ustalenia, co zostało wykradzione. Informacja ta może być konieczna do oceny ryzyka, powiadomienia klientów i wykonania obowiązków prawnych.

Nadal jednak zakup danych bezpośrednio od przestępcy nie powinien być traktowany jak zwykłe zamówienie próbki badawczej. Istnieją alternatywne drogi: współpraca z organami ścigania, CERT-em, wyspecjalizowanym zespołem reagowania czy podmiotami monitorującymi fora przestępcze. Wchodzenie w transakcję z napastnikiem może rodzić dodatkowe ryzyka operacyjne i prawne.

Sam zakup nie usuwa problemu

Załóżmy nawet, że zapłaciliśmy, pobraliśmy bazę i znaleźliśmy swój rekord. Co zyskaliśmy? Potwierdzenie, że dane wyciekły. Nie wiemy jednak, ile osób pobrało je wcześniej, kto jeszcze je posiada ani gdzie powstały kopie.

Dlatego zakup całego wycieku tylko po to, aby odpowiedzieć na pytanie „czy jestem w środku?”, przypomina kupienie całego skradzionego magazynu korespondencji, aby znaleźć jeden list adresowany do siebie. Technicznie osiągamy cel, ale metoda jest zupełnie nieproporcjonalna.

Najlepsza transakcja to ta, której nie trzeba zawierać

Jeśli chodzi nam wyłącznie o bezpieczeństwo własnych danych, znacznie rozsądniej korzystać z usług takich jak HIBP, Bezpieczne Dane albo oficjalne komunikaty administratora. Pwned Passwords potrafi nawet sprawdzić kompromitację hasła bez przesyłania jego pełnej wartości do usługi dzięki mechanizmowi k-anonimowości.

Nie trzeba finansować rynku skradzionych danych, żeby dowiedzieć się, czy padliśmy jego ofiarą. Jeżeli jedyną drogą do odpowiedzi wydaje się zapłacenie cyberprzestępcy, lepiej najpierw zastanowić się, czy sama odpowiedź jest warta wejścia w tę relację.