Have I Been Pwned pozwala wpisać adres e-mail i sprawdzić, w jakich znanych naruszeniach występował. Nic nie zmusza użytkownika, żeby wpisywał wyłącznie własny adres. Możemy sprawdzić współpracownika, kandydata do pracy, żonę, sąsiada albo osobę publiczną.
Technicznie to banalne. Etycznie i prawnie robi się znacznie ciekawiej, bo wynik wyszukiwania może ujawnić fragment cyfrowej historii człowieka, którego nigdy nie poprosiliśmy o zgodę.
Sam e-mail może prowadzić do interesujących wniosków
Jeśli adres pojawia się w wycieku z Adobe czy Dropboxa, zwykle niewiele mówi to o człowieku. Jeżeli natomiast nazwa serwisu wskazuje na określoną chorobę, preferencję seksualną, poglądy albo szczególną społeczność, sama informacja o obecności adresu może być wyjątkowo prywatna.
HIBP rozpoznaje ten problem poprzez kategorię sensitive breaches. Takie naruszenia nie są pokazywane podczas zwykłego publicznego wyszukiwania i wymagają weryfikacji kontroli nad adresem. To pokazuje, że nawet twórcy serwisu traktują pewne powiązania adresu z bazą jako informacje wymagające dodatkowej ochrony.
Ciekawość partnera to nie to samo co bezpieczeństwo firmy
Jeżeli osoba prywatna wpisuje adres znajomego z ciekawości, może mieścić się w sferze działalności osobistej, ale etycznie nadal pozostaje pytanie, czy powinna to robić. Inaczej wygląda sytuacja firmy wykorzystującej wyniki do podjęcia decyzji o kandydacie do pracy czy kliencie.
Wtedy wynik zaczyna wpływać na prawa konkretnej osoby i może stać się elementem formalnego procesu przetwarzania danych. Pojawiają się pytania o podstawę prawną, przejrzystość i adekwatność takiego działania.
Wynik HIBP nie dowodzi winy ani nieostrożności
Adres w wycieku oznacza przede wszystkim, że znajdował się w bazie objętej naruszeniem. Nie oznacza, że właściciel e-maila został „zhakowany”, używał słabego hasła czy zrobił coś niewłaściwego.
Używanie tej informacji do oceniania człowieka może więc prowadzić do błędnych wniosków. Ofiarą wycieku można zostać wyłącznie dlatego, że firma, której zaufaliśmy, źle zabezpieczyła system.
Publiczne narzędzie nie oznacza dowolnego celu
To istotna zasada także poza HIBP. Fakt, że informacja jest łatwo dostępna, nie oznacza, że każdy sposób jej wykorzystania jest automatycznie uzasadniony.
Można więc legalnie i rozsądnie monitorować własne firmowe domeny w celu bezpieczeństwa, a jednocześnie uznać masowe profilowanie prywatnych adresów kandydatów do pracy za zupełnie inną praktykę. To samo źródło danych może być używane w bardzo różnych celach, a cel ma znaczenie.
Przeczytaj także: