Informacja o dużym wycieku trafia do internetu. Ktoś pisze na forum, że udostępniono bazę klientów znanego sklepu, operatora albo serwisu internetowego. W mediach pojawiają się sprzeczne informacje: jedni twierdzą, że wyciekły wyłącznie adresy e-mail, inni wspominają o telefonach, PESEL-ach albo hasłach. Firma zapewnia, że analizuje sytuację i poinformuje klientów, jeśli będzie to konieczne.

Kilka godzin później w sieci pojawia się plik, który rzekomo zawiera skradzione dane.

Pierwsza reakcja wielu osób jest całkowicie zrozumiała: pobiorę bazę i sprawdzę, czy jestem w środku. Nie chcę nikogo okradać, publikować cudzych informacji ani wykorzystywać ich do oszustwa. Interesuje mnie wyłącznie własny adres e-mail, PESEL lub numer telefonu. Po sprawdzeniu plik mogę przecież usunąć.

Tylko że w chwili pobrania takiej bazy na naszym dysku może znaleźć się nie jeden rekord dotyczący nas, lecz dane stu tysięcy albo kilku milionów innych osób. Nagle pojawia się więc bardzo ciekawe pytanie: czy chęć ochrony własnej prywatności daje nam prawo do wejścia w posiadanie cudzych danych pochodzących z przestępstwa?

Odpowiedź nie sprowadza się do prostego „tak” albo „nie”.

Pobranie wycieku to nie to samo co włamanie

Najpierw trzeba rozdzielić dwie sytuacje, które w internetowych dyskusjach często wrzucane są do jednego worka. Czym innym jest samodzielne włamanie się do serwera i zdobycie informacji, do których nie mamy uprawnienia, a czym innym pobranie pliku, który ktoś wcześniej już wykradł i publicznie udostępnił.

Polski Kodeks karny w art. 267 penalizuje między innymi uzyskiwanie bez uprawnienia dostępu do informacji nieprzeznaczonej dla danej osoby poprzez przełamanie lub obejście zabezpieczeń oraz uzyskiwanie bez uprawnienia dostępu do całości lub części systemu informatycznego. Karalne może być również ujawnienie innej osobie informacji uzyskanej w taki sposób.

Jeżeli więc ktoś wykorzystuje znalezione w wycieku hasło, aby zalogować się na cudze konto, albo wykorzystuje dane dostępowe do wejścia do nadal działającego systemu, sytuacja jest zasadniczo inna od biernego przejrzenia pliku, który został już opublikowany. Zdanie „chciałem tylko sprawdzić, czy moje dane wyciekły” nie daje prawa do logowania się na cudze konta ani testowania przejętych loginów i haseł.

Samo znalezienie publicznego linku do pliku nie oznacza jednak automatycznie, że jego pobranie jest równoznaczne z dokonaniem włamania. Art. 267 opisuje konkretne sposoby bezprawnego uzyskiwania dostępu do informacji lub systemu. Ocena konkretnej sytuacji zależy więc m.in. od tego, skąd pochodzi plik, w jaki sposób uzyskaliśmy do niego dostęp i co następnie z nim robimy. To bardzo ważne rozróżnienie, ale nie oznacza jeszcze, że pobranie publicznie dostępnego wycieku jest prawnie neutralne.

Bo w tym miejscu kończy się pytanie o „hacking”, a zaczyna pytanie o cudze dane osobowe.

Otworzyłeś plik? Prawdopodobnie właśnie zacząłeś przetwarzać dane

W potocznym rozumieniu „przetwarzanie danych” kojarzy się z firmą posiadającą wielki CRM, systemem reklamowym albo administratorem prowadzącym bazę klientów. RODO definiuje to pojęcie znacznie szerzej.

Przetwarzaniem jest między innymi zbieranie, zapisywanie, porządkowanie, przechowywanie, wyszukiwanie, przeglądanie, wykorzystywanie, udostępnianie, łączenie, usuwanie czy niszczenie danych osobowych.

W praktyce oznacza to, że jeżeli pobieramy plik zawierający imiona, nazwiska, adresy e-mail czy numery telefonów, zapisujemy go na dysku, otwieramy i przeszukujemy, to wykonujemy operacje, które mieszczą się w definicji przetwarzania.

I tutaj pojawia się paradoks, od którego zaczęliśmy.

Chcemy znaleźć jeden własny rekord, ale żeby go znaleźć, pobieramy i przeszukujemy zbiór zawierający dane tysięcy innych osób.

Nasza intencja może być zupełnie niewinna. Zakres informacji, z którymi weszliśmy w posiadanie, pozostaje jednak znacznie większy niż informacja dotycząca nas samych.

Ale RODO przecież nie reguluje wszystkiego, co robi prywatna osoba

To prawda i jest to bardzo ważne zastrzeżenie.

RODO nie stosuje się do przetwarzania danych przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze, niezwiązanych z działalnością zawodową czy gospodarczą. Motyw 18 rozporządzenia jako przykłady takich działań podaje nawet korespondencję, przechowywanie adresów czy określoną aktywność w sieciach społecznościowych.

Można więc wyobrazić sobie argument, że osoba prywatna, która jednorazowo pobiera zbiór wyłącznie po to, aby sprawdzić własne dane i nie robi z nim niczego więcej, działa w sferze czysto osobistej. W takim wariancie problem nie wygląda tak samo jak w przypadku przedsiębiorcy, badacza prowadzącego zawodowy projekt albo właściciela serwisu, który pobiera bazę, indeksuje ją i udostępnia wyszukiwarkę innym osobom.

Tyle że wyjątek dotyczący działalności osobistej nie jest magiczną kartą „wolno wszystko”. Nie powoduje, że legalne staje się włamanie do systemu, korzystanie z cudzych haseł czy inne zachowania regulowane przez prawo karne. Nie daje też automatycznego prawa do publicznego rozpowszechniania cudzych informacji.

Co więcej, sytuacja zaczyna się zmieniać wraz z naszym zachowaniem. Co innego jednorazowe sprawdzenie własnego adresu, a co innego stworzenie sobie prywatnego archiwum wszystkich wycieków, regularne analizowanie cudzych rekordów, wyszukiwanie znajomych albo publikowanie wyników w internecie.

Granica pomiędzy „sprawdzam siebie” a „buduję własną bazę cudzych danych” może zostać przekroczona szybciej, niż się wydaje.

Największy paradoks: żeby sprawdzić jedną osobę, pobierasz milion

Wyobraźmy sobie wyciek zawierający milion rekordów. Interesuje nas jeden adres e-mail. Technicznie wykonujemy operację, w której dla znalezienia jednej informacji pobieramy 999 999 rekordów dotyczących innych osób.

To właśnie dlatego z punktu widzenia ochrony prywatności znacznie lepiej zaprojektowane są rozwiązania w rodzaju Have I Been Pwned czy polskiego serwisu Bezpieczne Dane. Użytkownik podaje identyfikator, który chce sprawdzić, i otrzymuje wynik bez konieczności pobierania całej źródłowej bazy.

CERT Polska również zaleca osobom, które dowiadują się o wycieku, przede wszystkim ustalenie, jakie konkretnie dane zostały naruszone, a oficjalny serwis Bezpieczne Dane pozwala sprawdzać informacje z obsługiwanych przez państwowe instytucje zbiorów bez przekazywania użytkownikowi całego wycieku.

To fundamentalna różnica. W jednym wariancie zadajemy systemowi pytanie: „czy występuje mój e-mail?”. W drugim bierzemy do domu milion cudzych rekordów, żeby samodzielnie znaleźć odpowiedź.

Cel jest ten sam, ale ingerencja w prywatność innych ludzi – zupełnie inna.

A jeśli w bazie są hasła?

Wtedy sytuacja robi się jeszcze bardziej delikatna.

Polski Kodeks karny w art. 269b przewiduje odpowiedzialność dotyczącą między innymi pozyskiwania lub udostępniania haseł komputerowych, kodów dostępu oraz innych danych umożliwiających nieuprawniony dostęp do informacji znajdujących się w systemie informatycznym. Jednocześnie przepisy zawierają wyjątek dotyczący działania wyłącznie w celu zabezpieczenia systemu lub opracowania metody takiego zabezpieczenia.

To jednak nie znaczy, że wystarczy dopisać sobie w głowie „robię research bezpieczeństwa” i problem znika. Przepisy dotyczące tzw. legalnego security research mają konkretne warunki. Art. 269c przewiduje brak kary w określonych przypadkach działania wyłącznie w celu zabezpieczenia systemu lub opracowania sposobu jego zabezpieczenia, przy czym konieczne jest m.in. niezwłoczne powiadomienie dysponenta systemu o ujawnionym zagrożeniu, brak naruszenia interesu publicznego lub prywatnego oraz brak wyrządzenia szkody.

Innymi słowy: „chciałem zobaczyć, czy działa” nie jest definicją legalnego testu bezpieczeństwa.

Jeżeli baza zawiera aktywne dane logowania, szczególnie złym pomysłem byłoby sprawdzanie ich poprzez logowanie się do wskazanych usług. Można bardzo łatwo przejść od biernego zapoznawania się z ujawnionym plikiem do faktycznego uzyskiwania nieuprawnionego dostępu do cudzych kont.

A jeżeli chcę sprawdzić wyłącznie własne hasło?

To kolejny przykład pokazujący, że cel sam w sobie może być rozsądny, ale wybrana metoda niekoniecznie.

Jeżeli interesuje nas odpowiedź na pytanie, czy używane przez nas hasło kiedykolwiek pojawiło się w znanych wyciekach, nie musimy pobierać baz zawierających cudze loginy i hasła. Istnieją usługi zaprojektowane właśnie po to, aby odpowiedzieć na takie pytanie bez ujawniania użytkownikowi pełnych zbiorów.

W praktyce jest to dużo rozsądniejsze rozwiązanie zarówno z punktu widzenia bezpieczeństwa, jak i minimalizacji danych. Nie musimy przechowywać na komputerze informacji, których nigdy nie potrzebowaliśmy, a jednocześnie ograniczamy ryzyko, że sami staniemy się kolejnym ogniwem niekontrolowanego rozpowszechniania wycieku.

To również dobra ilustracja zasady minimalizacji danych wynikającej z RODO. Jeżeli cel można osiągnąć, korzystając z jednej odpowiedzi „tak/nie”, trudno uzasadnić potrzebę posiadania całej bazy tylko dlatego, że technicznie jest dostępna. RODO wymaga, aby przetwarzane dane były adekwatne, stosowne i ograniczone do tego, co niezbędne do danego celu.

„Ale baza już jest publiczna” to słabszy argument, niż wygląda

W internecie często pojawia się rozumowanie: skoro dane zostały opublikowane i każdy może je pobrać, to przestały być prywatne.

Nie.

Publiczne udostępnienie danych – szczególnie wskutek przestępstwa – nie powoduje, że przestają być one danymi osobowymi. Numer telefonu nadal pozostaje numerem telefonu konkretnej osoby, PESEL nadal pozwala ją zidentyfikować, a adres e-mail nadal może być informacją odnoszącą się do konkretnego człowieka.

Podobnie sam fakt, że jakiś plik można znaleźć przez wyszukiwarkę, komunikator lub publiczne forum, nie oznacza automatycznie, że każda forma jego dalszego wykorzystywania jest dozwolona. To bardzo ważna zasada również poza tematyką wycieków. Internet nie działa jak prawny „automat piorący”, który po publikacji zmienia cudze dane w dobro publiczne.

W przypadku podmiotów podlegających RODO pojawia się dodatkowo cały zestaw zasad dotyczących legalności, celu, minimalizacji, czasu przechowywania i zabezpieczenia informacji. Dane mają być przetwarzane zgodnie z prawem, w konkretnych celach, ograniczone do niezbędnego zakresu oraz odpowiednio chronione przed dalszym nieuprawnionym wykorzystaniem.

A co z badaczem bezpieczeństwa?

Tutaj sytuacja jest zdecydowanie bardziej złożona niż w przypadku zwykłego internauty.

Analiza prawdziwych wycieków może mieć ogromną wartość. Dzięki takim badaniom można ustalić skalę naruszenia, zweryfikować twierdzenia cyberprzestępcy, zidentyfikować kategorie ujawnionych danych, znaleźć błędy zabezpieczeń, ostrzec ofiary albo pomóc firmie właściwie ocenić ryzyko.

Nie oznacza to jednak, że samo nazwanie się badaczem bezpieczeństwa daje blankietowe prawo do gromadzenia wszystkiego, co pojawi się na przestępczych forach. Badacz działający zawodowo nie może już tak łatwo powołać się na czysto osobisty lub domowy charakter przetwarzania. Musi więc brać pod uwagę między innymi podstawę przetwarzania danych, niezbędność ich zakresu, zabezpieczenia i sposób późniejszego wykorzystania.

Europejska Rada Ochrony Danych podkreśla przy prawnie uzasadnionym interesie trzy elementy: sam interes musi być zgodny z prawem i rzeczywisty, przetwarzanie musi być do jego osiągnięcia niezbędne, a następnie trzeba zważyć ten interes z prawami i wolnościami osób, których dane dotyczą. Jeżeli ten sam cel można osiągnąć metodą mniej ingerującą w prywatność, ma to znaczenie dla oceny niezbędności.

Badacz, który potrzebuje stu rekordów do zweryfikowania struktury danych, znajduje się więc w innej sytuacji niż ktoś, kto bez wyraźnej potrzeby zachowuje przez lata pełną bazę dziesięciu milionów osób.

Czy można przekazać znalezioną bazę CERT Polska?

Jeżeli trafimy na prawdopodobnie nowy wyciek, zdecydowanie lepszym działaniem od dalszego rozsyłania pliku po znajomych jest zgłoszenie incydentu odpowiednim podmiotom. Osoby fizyczne mogą zgłaszać incydenty do CSIRT NASK, a oficjalne materiały państwowe wskazują formularz incydent.cert.pl jako podstawową drogę kontaktu z CERT Polska. Przepisy pozwalają osobom i podmiotom innym niż operatorzy usług kluczowych również zgłaszać incydenty, a zgłoszenie może obejmować informacje istotne do jego analizy.

Nie oznacza to oczywiście, że każdy przypadkowy internauta powinien automatycznie pobierać wielogigabajtowy wyciek tylko po to, aby następnie móc go przesłać CERT-owi. Często wystarczającą informacją będzie wskazanie miejsca publikacji, nazwy zaatakowanego podmiotu, opisu sytuacji czy innych informacji pozwalających specjalistom rozpocząć analizę.

To ważna zasada praktyczna: jeżeli nie potrzebujemy wejść w posiadanie cudzych danych, najlepiej tego nie robić.

Jeszcze jeden problem: skąd wiemy, co naprawdę pobieramy?

Jest również aspekt zupełnie niezależny od RODO.

Plik opisany jako „pełny wyciek klientów firmy X” nie musi być tym, czym twierdzi osoba, która go opublikowała. Może być starym zbiorem sprzed kilku lat, połączeniem wielu wcześniejszych wycieków, fałszywą bazą stworzoną dla rozgłosu albo przynętą służącą do infekowania komputerów osób zainteresowanych incydentem.

To szczególnie przewrotny model ataku: ktoś publikuje informację o głośnym wycieku, a następnie udostępnia rzekomą bazę właśnie po to, aby potencjalne ofiary same pobrały złośliwy plik. Człowiek chce sprawdzić, czy padł ofiarą jednego incydentu, i przy okazji staje się ofiarą drugiego.

Również dlatego posługiwanie się wiarygodnymi usługami służącymi do sprawdzania naruszeń jest bezpieczniejsze od samodzielnego kolekcjonowania plików z przypadkowych źródeł.

A jeżeli plik już pobrałem?

Sam fakt, że plik znajduje się na dysku, nie oznacza jeszcze automatycznie, że popełniliśmy przestępstwo. Ocena zależy od źródła, zawartości, sposobu uzyskania oraz dalszych działań. Szczególnie nie należy jednak rozpowszechniać bazy dalej, publikować jej na własnym serwerze, udostępniać fragmentów umożliwiających identyfikację osób ani testować znalezionych danych logowania na cudzych kontach.

Jeżeli wyciek wygląda na nowy lub istotny, rozsądniejsze jest przekazanie informacji CERT Polska. Jeżeli jedynym powodem pobrania pliku było sprawdzenie własnego rekordu i cel został osiągnięty, trudno znaleźć praktyczny powód, dla którego użytkownik miałby następnie tworzyć sobie prywatne archiwum danych tysięcy innych osób.

To kolejny punkt, w którym zdrowy rozsądek i podstawowa zasada minimalizacji prowadzą w tym samym kierunku: nie przechowujmy informacji, których nie potrzebujemy.

Najlepsze rozwiązanie jest paradoksalnie najmniej ciekawe

Gdy w internecie pojawia się informacja o wycieku, samodzielne zdobycie bazy może wydawać się najbardziej bezpośrednim sposobem sprawdzenia sytuacji. Technicznie rzeczywiście możemy otrzymać odpowiedź szybciej niż czekając na komunikat firmy.

Ale wraz z odpowiedzią otrzymujemy coś jeszcze: cudze adresy, telefony, identyfikatory, a czasem hasła, dokumenty lub informacje, których nigdy nie chcieliśmy posiadać.

I dlatego najbezpieczniejszy sposób jest jednocześnie najmniej spektakularny. Korzystamy z oficjalnego narzędzia do sprawdzania wycieków, czekamy na informacje administratora, weryfikujemy adres w renomowanym serwisie albo zgłaszamy znaleziony incydent CERT Polska. Nie przeszukujemy samodzielnie bazy miliona osób po to, aby odpowiedzieć na pytanie dotyczące jednej.

Czy zatem wolno pobrać wyciek tylko po to, żeby sprawdzić siebie?

Nie istnieje prosta zasada mówiąca, że każde pobranie opublikowanej bazy danych jest automatycznie przestępstwem. Trzeba odróżnić wejście w posiadanie już udostępnionego pliku od przełamywania zabezpieczeń i uzyskiwania nieuprawnionego dostępu do systemów. Trzeba również uwzględnić to, czy działamy wyłącznie jako osoba prywatna, czy zawodowo, jakie informacje znajdują się w zbiorze oraz co zamierzamy z nimi zrobić.

Jednocześnie nie istnieje też przeciwna zasada: „sprawdzam własne dane, więc wolno mi wszystko”. Pobranie wycieku może oznaczać wejście w posiadanie ogromnej ilości informacji dotyczących innych ludzi. Jeżeli w zbiorze są aktywne hasła lub dane dostępowe, pojawiają się dodatkowe ryzyka prawne. Jeżeli zaczniemy informacje dalej publikować, analizować zawodowo, indeksować albo wykorzystywać w innych celach, sytuacja zmienia się jeszcze bardziej.

I chyba właśnie w tym tkwi najciekawszy paradoks.

Chcemy chronić swoją prywatność, więc pobieramy plik będący efektem naruszenia prywatności miliona innych osób.

Technicznie jest to niezwykle proste. Etycznie i prawnie – już znacznie mniej.

Jeżeli odpowiedź na pytanie „czy jestem w wycieku?” można uzyskać bez wejścia w posiadanie całego wycieku, to właśnie taki sposób jest najbezpieczniejszy. Nie dlatego, że każda osoba pobierająca opublikowany plik staje się automatycznie cyberprzestępcą, ale dlatego, że najłatwiejszym sposobem uniknięcia problemów związanych z cudzymi danymi jest po prostu nie zbierać cudzych danych, kiedy nie są nam potrzebne.