• Kino
  • Mapa
  • Ogłoszenia
  • Forum
  • Komunikacja
  • Raport

Pomógł chronić dane, a pyta o niego policja

ms
22 maja 2019 (artykuł sprzed 5 lat) 
Nasz czytelnik, który ujawnił wady w zabezpieczeniu strony z danymi 18 tys. mieszkańców Gdańska, a następnie pomógł je zabezpieczyć przed wyciekiem, jest teraz obiektem zainteresowania policji. Nasz czytelnik, który ujawnił wady w zabezpieczeniu strony z danymi 18 tys. mieszkańców Gdańska, a następnie pomógł je zabezpieczyć przed wyciekiem, jest teraz obiektem zainteresowania policji.

Publikujemy list naszego czytelnika, który kilka tygodni temu wykrył lukę w systemie zabezpieczającym dane uczestników gdańskiej loterii PIT. Choć po jego zgłoszeniu poprawiono ustawienia bezpieczeństwa, dzięki czemu do wycieku danych nie doszło, to teraz on musi się tłumaczyć ze swojej działalności.



Jakich haseł używasz do zabezpieczenia swoich danych (komputera, poczty, konta)?

Przypomnijmy: 30 kwietnia firma Playprint, organizator loterii PIT w Gdańsku, zgłosiła wyciek danych 18 tys. osób, które zarejestrowały się w loterii, dzięki której mogły wygrać m.in. samochód i rowery elektryczne.

Choć ta informacja wystraszyła wiele osób, tak naprawdę nie doszło do hakerskiego ataku na stronę konkursu. To nasz czytelnik, który zawodowo zajmuje się bezpieczeństwem w sieci, dość przypadkowo odkrył dziurę w systemie. Choć natychmiast (w ciągu kilkunastu minut) poinformował o tym organizatora loterii, a następnie pomagał mu w naprawieniu błędu, to potraktowano go jak przestępcę.

Pani Iwona wylosowała Toyotę w loterii PIT w Gdańsku

Oto jego relacja z tego wydarzenia:

Piszę ten list, żeby sprostować kilka faktów odnośnie sprawy "wycieku danych osobowych z loterii PIT w Gdańsku", którą opisał portal Trojmiasto.pl kilka tygodni temu.
 
Tak jak wielu mieszkańców Gdańska, także i ja wypełniłem formularz zgłoszeniowy na stronie pitwgdansku.pl. Gdy doszedłem do prośby o podanie numeru PESEL, zapaliła mi się w głowie lampka ostrzegawcza. Czy aby na pewno moje dane są bezpieczne? Sprawdziłem, kto i gdzie utrzymuje powyższą stronę, sprawdziłem regulamin oraz certyfikat SSL strony w celu upewnienia się, czy komunikacja między moim komputerem a systemem dostawcy usług jest w pełni zabezpieczona. Nic nie wzbudziło moich podejrzeń, więc podałem wszystkie wymagane dane oraz kliknąłem przycisk "wyślij".

Pomimo tego, intuicja nie dawała mi spokoju. Przyjrzałem się dziwnej odpowiedzi serwera, następnie po nitce do kłębka doszedłem do tego oto adresu -  pitwgdansku.pl/file.log [już nie działa - dop. red.].
 
Jakież było moje zdziwienie, gdy przeglądarka zaraportowała pobranie pliku o rozmiarze 55 MB. Pierwszy rzut oka na zawartość spowodował oszołomienie, a wręcz szok. Po minucie konsternacji zacząłem analizę - imiona, nazwiska, telefony, adresy e-mail jak i numery PESEL. Kilkanaście tysięcy rekordów dostępnych pod publicznie dostępnym linkiem bez żadnych zabezpieczeń! Na samym końcu także i moje dane.
 
Natychmiast podjąłem kroki, aby dane zostały należycie zabezpieczone, tj. zgłosiłem sprawę do administratora strony oraz ludzi odpowiedzialnych za prowadzenie portalu gdansk.pl [choć to nie oni odpowiadali za zabezpieczenie strony głosowana - dop. red.]. W ciągu mniej niż 48 godzin, przy mojej pełnej współpracy z firmą Playprint, organizatorem loterii, po wielu rozmowach telefonicznych lukę udało się załatać, a dane prawie 20 tys. mieszkańców Gdańska były od tej chwili bezpieczne.

Pozostało tylko poinformowanie pokrzywdzonych o wycieku, zwłaszcza że chodziło o szerszy zakres danych niż imię, nazwisko czy email.
 
Nastąpiło to 30 kwietnia, kiedy to wszyscy biorący udział w loterii (w tym również ja) otrzymali email zatytułowany "Zawiadomienie o naruszeniu ochrony danych osobowych - loteria PIT w Gdańsku".

Wówczas też, czyli po wysłaniu maila do uczestników loterii, co było jednoznaczne z powiadomieniem o sprawie Urzędu Ochrony Danych Osobowych, pozbyłem się wszelkich pozyskanych przypadkowo plików. Stało się to 30 kwietnia.

W mailu do uczestników loterii administrator danych osobowych w krótkich słowach opisał, co się stało oraz wyszczególnił podjęte kroki. Padło tam następujące zdanie: "Zawiadomiono Prezesa Urzędu Ochrony Danych Osobowych o naruszeniu ochrony danych osobowych oraz organy ścigania (Policję i Prokuraturę) w zakresie podejrzenia popełnienia przestępstwa w ww. zakresie."
 
Tutaj historia zaczyna mnie bardzo niepokoić. Kilka dni później otrzymałem informację, iż tego samego dnia, 30 kwietnia, późnym popołudniem mieszkanie moich rodziców zostało odwiedzone przez pięciu funkcjonariuszy policji. Jako że rodziny w domu nie było (weekend majowy), zaczęli rozpytywać o mnie sąsiadów, którzy to potem powiadomili o tym fakcie.
 
Nie wiem, co mam myśleć o tym zdarzeniu. Do tej pory nie otrzymałem żadnego zawiadomienia ani z policji, ani z prokuratury. Ani jednego telefonu.
 
Czyżby nagle z porządnego obywatela, który de facto zapobiegł wyciekowi danych, stałem się cyberprzestępcą?

To o tyle dziwne, że Kodeks Karny wprost mówi w art 269 c:

"Nie podlega karze za przestępstwo określone w art. 267 § 2 lub art. 269 a, kto działa wyłącznie w celu zabezpieczenia systemu informatycznego, systemu teleinformatycznego lub sieci teleinformatycznej albo opracowania metody takiego zabezpieczenia i niezwłocznie powiadomił dysponenta tego systemu lub sieci o ujawnionych zagrożeniach, a jego działanie nie naruszyło interesu publicznego lub prywatnego i nie wyrządziło szkody."
ms

Co Cię gryzie - artykuł czytelnika to rubryka redagowana przez czytelników, zawierająca ich spostrzeżenia na temat otaczającej nas trójmiejskiej rzeczywistości. Wbrew nazwie nie wszystkie refleksje mają charakter narzekania. Jeśli coś cię gryzie opisz to i zobacz co inni myślą o sprawie. A my z radością nagrodzimy najciekawsze teksty biletami do kina lub na inne imprezy odbywające się w Trójmieście.

Opinie (247) 10 zablokowanych

  • Policja. Wszystko jasne. To ci co chronią prezesa PiS i księży pedofili. (1)

    • 12 12

    • Własnym ciałem rzutnik zasłaniają. Film dostępny w sieci a oni taki cyrk robią.

      Ja wiem że brak chętnych do pracy w policji ale aby aż tak kryteria zaniżyć.

      • 7 1

  • policja z komputerami siedzi jeszcze w XX wieku,

    podobno tylko co trzeci komisariat podłączony jest do internetu ... nie dziwota więc ,że działania pana czytelnika wzbudziły takie kontrowersje ... swoją drogą bardzo prostą metodą do tego doszedł. I jeszcze jedno rzuca się w oczy, wychodzi teraz bokiem najtańsza oferta na rynku, która zajęła się tą loterią. Ciekawe ile kosztowało postawienie tego systemu, ile wydano publicznych pieniędzy na informatyków i program loterii?

    • 15 2

  • ABWehra jeszcze nie wjechała na chatę i nie skonfiskowała komputera w celu zabezpieczenia dowodu "file.log"? :D

    • 4 1

  • Opinia wyróżniona

    Ogarnij sie chłopie (17)

    Jesteś w sprawie głównym świedkiem. Jeżeli sprawa (z jakiegokolwiek paragrafu) trafi do sądu, też będziesz musił tam latać. To niestety konieczna cząść bycia dobrym obywatelem

    • 111 38

    • (11)

      Od kiedy to świadka odwiedza się w domu (pewnie jeszcze o 6 rano) i rozpytuje sąsiadów? To są metody poszukiwania co najmniej podejrzanych, jak nie przestępców.

      • 49 7

      • Piqś pewnie starej daty, (4)

        a to już nie czasy milicji...

        • 2 8

        • (3)

          Pewnie z ofertą pracy przyszli.

          • 11 1

          • (2)

            Może przyszli zabezpieczyć materiał dowodowy na polecenie prokuratury? Art. 267 KK.

            Ściganie przestępstwa określonego w § 1-4 następuje na wniosek pokrzywdzonego.

            • 4 1

            • (1)

              W takim razie prokurator to zwolnienia, bo co tu zabezpieczać, skoro gość podał wszystko na tacy?

              • 5 1

              • nie powiedział tego ... skąd to wiedział ... i kto za nim stoi :)))

                • 5 1

      • Naucz się czytać ze zrozumieniem: (5)

        "iż tego samego dnia, 30 kwietnia, późnym popołudniem mieszkanie moich rodziców zostało odwiedzone przez pięciu funkcjonariuszy policji"

        • 13 1

        • (4)

          A skąd on może wiedzieć, o której przyszli policjanci, skoro nikogo w mieszkaniu nie było? Późnym popołudniem to rozpytywali sąsiadów, co nie jest jednoznaczne z tym, że o tej godzinie przyszli pierwszy raz do mieszkania.

          • 4 11

          • Typowo polskie (1)

            Drążysz po stronie gościa, który zrobił dobry uczynek.
            Antoni nie idź tą drogą!

            • 13 0

            • To chyba nie do mnie odpowiedź? Przecież piszę, że to metody stalinowskie, aby "świadka" odwiedzać o 6 rano.

              • 2 1

          • Skąd może to wiedzieć? Kamera, powiadomienie z dzwonka elektronicznego, informacja od sąsiadów

            oj, kulsony, jeszcze dużo się musicie nauczyć

            • 6 0

          • Przeczytaj jeszcze raz uważnie co gościu napisał i postaraj się zrozumieć.

            "późnym popołudniem mieszkanie moich rodziców zostało odwiedzone przez pięciu funkcjonariuszy policji".

            Uwielbiam domysły wszystkowiedzących na tym portalu.

            • 2 0

    • kto w mieście poniósł konsekwencje tego dziadostwa?

      nikt?

      • 5 0

    • zasada zawsze jest taka sam - wiesz cos to sie nie przyznawaj

      NIGDY! Trzeba byc skonczonym głupcem by zaufac innym, ze odbiorą Cie jak wybawcę. Co Cie podkusilo, zeby sie układac z jełopami, którzy ta baze zabezpieczali? Chciales byc sławny ? To masz, zrobia z Ciebie Mitnicka i do konca zycia beda patrzec Ci na ręce. Dla nich jestes przestępca a nie przypadkowym testerem zabezpieczen.

      • 3 4

    • Abc

      To niech przyjdzie list z zawiadomieniem a nie policjanci wypytujący sąsiadów. Oczywiście obok listu z podziękowaniem za wzorową postawę obywatelską. Tak optymalnie traktuje się "dobrych obywateli".

      • 9 0

    • No jest

      I dlatego pięciu przyjechało do domu rodziców. Do,świadków wysyła się wezwania, a nie policjantów..

      • 4 0

    • Co to znaczy dobry obywatel?

      Dobry obywatel, to stłamszony obywatel?

      • 0 0

  • W normalnym kraju by go chcieli zatrudnic. U nas pojdzie siedziec

    • 11 0

  • Cała policja

    Dno intelektualne,najlepiej im wychodzi strajkowanie i branie lewych zwolnień od psychiatry

    • 8 0

  • Szukają "kozła ofiarnego" by kogoś przykładnie ukarać

    Szukają "kozła ofiarnego" by kogoś przykładnie ukarać. Boją się pozwów zbiorowych, najprościej winę zwalić na kogoś innego. Bardzo Panu dziękuję za ujawnienie tego, również byłam w tym gronie. Życzę by wszystko dobrze potoczyło się.

    • 13 2

  • Opinia wyróżniona

    Tu właśnie wychodzi nasze zacofanie... (10)

    1. Gość przezorny, dba o swoje bezpieczeństwo, a co ważne i innych
    2. Zna działanie komunikacji client-server, wiedział które request posprawdzać
    3. Nie poleciał do TVN'u TVP, czy innych mass mediów, nie pozwolil, załatwił sprawe "po cichu" tak, aby nikt się nie zorientował o wycieku

    Gość powinien dostać podziękowanie od Prezydenta Gdańska, za ochronie mieszkańców oraz jakiś etat w dziale IT.

    Co dostaje? Problemy, latanie po sądach czy odwiedziny policji u rodzców (pewnie starszej daty, nie wiedzą nawet jaką sprawe chodzi, gdy im mówili) dla zwykłego człowieka nie jest niczym przyjemnym.

    A to wszystko w czasach RODO i innych mechanizmów zabezpieczających.
    Osatnio dzowniłem do szpitala z pracy pytająć o stan taty, który leżał u nich, odpowiedz: Nie mozemy udzielać inforamcji, RODO.

    W tym samym czasie, w sieci wisi 15.000 poufnytch danych - ot paradoks RODO :)

    • 252 9

    • (1)

      Ale zapomniał o TORze i nie wysłał tego anonimowo. U nas tak jak w szkole, kto pierwszy poczuł, ten jest sprawcą nie ten co wypuścił ;)

      • 11 0

      • Musiałby już wcześniej całą "analizę" strony robić przez TOR. Samo wysłanie zgłoszenia przez TOR nic by mu nie dało, skoro kilkanaście minut wcześniej przypadkowo ściągnął plik ze strony bez anonimizacji.

        • 3 0

    • Mogło też być tak że administrator przeanalizował incydent i zobaczył 1 zapytanie do pliku. Powiadomił o tym policję, oni po ip doszli do mieszkania.

      • 3 3

    • RODO (1)

      się kłania, RODO i obowiązek powiadomienia po stwierdzeniu wycieku danych.

      • 0 4

      • Obowiązek ma ADO nie użytkownik.

        • 10 0

    • Są braki informatyków w Policji, to może chcą go nakłonić do pracy dla nich (1)

      ;)

      • 2 0

      • taki naprawdę dobry informatyk/hacker zarabia min 10000zł do rączki

        to w Policji musieliby go już na początku kariery zrobić generałem :)))

        • 4 0

    • "...oraz jakiś etat w dziale IT...."

      Nie jakis, ale ten etat tego co wczesniej tak ślicznie zabezpieczał baze danych przed wyciekiem.

      • 5 0

    • do ojca to osobiscie sie chodzi

      jak juz narzekasz, to choc staraj sie zatuszowac swoje wady, bo mimo ze napisales rzetelnie, to wiem juz (sam sie przyznales) ze jestes kiepskim synem. Szkoda ojca

      • 0 0

    • etat

      HAHA etat....ETAT?! hahahaha...dobre....czekaj niech no wstanę z podłogi...dział IT w budżetówce....leżę.....etat to akurat najgorsze co można by było podarować takiej osobie...już lepiej iść pracować do biedronki.

      • 1 0

  • Słowa, Słówka

    Niestety "Nie podlega karze" to nie to samo co "Nie popełnia przestępstwa"

    • 5 1

  • Każdy dobry uczynek zostanie ukarany.

    Tak to jest że, jak chce się urzędom państwowym pomóc to ściąga się na siebie tylko kłopoty. Policja jak zwykle narobi najwięcej syfu. Szkoda że, że nie rozpowiadali że, szukają go bo włamał się i coś ukradł

    • 7 0

alert Portal trojmiasto.pl nie ponosi odpowiedzialności za treść opinii.

Najczęściej czytane