• Kino
  • Mapa
  • Ogłoszenia
  • Forum
  • Komunikacja
  • Raport

Pomógł chronić dane, a pyta o niego policja

ms
22 maja 2019 (artykuł sprzed 5 lat) 
Nasz czytelnik, który ujawnił wady w zabezpieczeniu strony z danymi 18 tys. mieszkańców Gdańska, a następnie pomógł je zabezpieczyć przed wyciekiem, jest teraz obiektem zainteresowania policji. Nasz czytelnik, który ujawnił wady w zabezpieczeniu strony z danymi 18 tys. mieszkańców Gdańska, a następnie pomógł je zabezpieczyć przed wyciekiem, jest teraz obiektem zainteresowania policji.

Publikujemy list naszego czytelnika, który kilka tygodni temu wykrył lukę w systemie zabezpieczającym dane uczestników gdańskiej loterii PIT. Choć po jego zgłoszeniu poprawiono ustawienia bezpieczeństwa, dzięki czemu do wycieku danych nie doszło, to teraz on musi się tłumaczyć ze swojej działalności.



Jakich haseł używasz do zabezpieczenia swoich danych (komputera, poczty, konta)?

Przypomnijmy: 30 kwietnia firma Playprint, organizator loterii PIT w Gdańsku, zgłosiła wyciek danych 18 tys. osób, które zarejestrowały się w loterii, dzięki której mogły wygrać m.in. samochód i rowery elektryczne.

Choć ta informacja wystraszyła wiele osób, tak naprawdę nie doszło do hakerskiego ataku na stronę konkursu. To nasz czytelnik, który zawodowo zajmuje się bezpieczeństwem w sieci, dość przypadkowo odkrył dziurę w systemie. Choć natychmiast (w ciągu kilkunastu minut) poinformował o tym organizatora loterii, a następnie pomagał mu w naprawieniu błędu, to potraktowano go jak przestępcę.

Pani Iwona wylosowała Toyotę w loterii PIT w Gdańsku

Oto jego relacja z tego wydarzenia:

Piszę ten list, żeby sprostować kilka faktów odnośnie sprawy "wycieku danych osobowych z loterii PIT w Gdańsku", którą opisał portal Trojmiasto.pl kilka tygodni temu.
 
Tak jak wielu mieszkańców Gdańska, także i ja wypełniłem formularz zgłoszeniowy na stronie pitwgdansku.pl. Gdy doszedłem do prośby o podanie numeru PESEL, zapaliła mi się w głowie lampka ostrzegawcza. Czy aby na pewno moje dane są bezpieczne? Sprawdziłem, kto i gdzie utrzymuje powyższą stronę, sprawdziłem regulamin oraz certyfikat SSL strony w celu upewnienia się, czy komunikacja między moim komputerem a systemem dostawcy usług jest w pełni zabezpieczona. Nic nie wzbudziło moich podejrzeń, więc podałem wszystkie wymagane dane oraz kliknąłem przycisk "wyślij".

Pomimo tego, intuicja nie dawała mi spokoju. Przyjrzałem się dziwnej odpowiedzi serwera, następnie po nitce do kłębka doszedłem do tego oto adresu -  pitwgdansku.pl/file.log [już nie działa - dop. red.].
 
Jakież było moje zdziwienie, gdy przeglądarka zaraportowała pobranie pliku o rozmiarze 55 MB. Pierwszy rzut oka na zawartość spowodował oszołomienie, a wręcz szok. Po minucie konsternacji zacząłem analizę - imiona, nazwiska, telefony, adresy e-mail jak i numery PESEL. Kilkanaście tysięcy rekordów dostępnych pod publicznie dostępnym linkiem bez żadnych zabezpieczeń! Na samym końcu także i moje dane.
 
Natychmiast podjąłem kroki, aby dane zostały należycie zabezpieczone, tj. zgłosiłem sprawę do administratora strony oraz ludzi odpowiedzialnych za prowadzenie portalu gdansk.pl [choć to nie oni odpowiadali za zabezpieczenie strony głosowana - dop. red.]. W ciągu mniej niż 48 godzin, przy mojej pełnej współpracy z firmą Playprint, organizatorem loterii, po wielu rozmowach telefonicznych lukę udało się załatać, a dane prawie 20 tys. mieszkańców Gdańska były od tej chwili bezpieczne.

Pozostało tylko poinformowanie pokrzywdzonych o wycieku, zwłaszcza że chodziło o szerszy zakres danych niż imię, nazwisko czy email.
 
Nastąpiło to 30 kwietnia, kiedy to wszyscy biorący udział w loterii (w tym również ja) otrzymali email zatytułowany "Zawiadomienie o naruszeniu ochrony danych osobowych - loteria PIT w Gdańsku".

Wówczas też, czyli po wysłaniu maila do uczestników loterii, co było jednoznaczne z powiadomieniem o sprawie Urzędu Ochrony Danych Osobowych, pozbyłem się wszelkich pozyskanych przypadkowo plików. Stało się to 30 kwietnia.

W mailu do uczestników loterii administrator danych osobowych w krótkich słowach opisał, co się stało oraz wyszczególnił podjęte kroki. Padło tam następujące zdanie: "Zawiadomiono Prezesa Urzędu Ochrony Danych Osobowych o naruszeniu ochrony danych osobowych oraz organy ścigania (Policję i Prokuraturę) w zakresie podejrzenia popełnienia przestępstwa w ww. zakresie."
 
Tutaj historia zaczyna mnie bardzo niepokoić. Kilka dni później otrzymałem informację, iż tego samego dnia, 30 kwietnia, późnym popołudniem mieszkanie moich rodziców zostało odwiedzone przez pięciu funkcjonariuszy policji. Jako że rodziny w domu nie było (weekend majowy), zaczęli rozpytywać o mnie sąsiadów, którzy to potem powiadomili o tym fakcie.
 
Nie wiem, co mam myśleć o tym zdarzeniu. Do tej pory nie otrzymałem żadnego zawiadomienia ani z policji, ani z prokuratury. Ani jednego telefonu.
 
Czyżby nagle z porządnego obywatela, który de facto zapobiegł wyciekowi danych, stałem się cyberprzestępcą?

To o tyle dziwne, że Kodeks Karny wprost mówi w art 269 c:

"Nie podlega karze za przestępstwo określone w art. 267 § 2 lub art. 269 a, kto działa wyłącznie w celu zabezpieczenia systemu informatycznego, systemu teleinformatycznego lub sieci teleinformatycznej albo opracowania metody takiego zabezpieczenia i niezwłocznie powiadomił dysponenta tego systemu lub sieci o ujawnionych zagrożeniach, a jego działanie nie naruszyło interesu publicznego lub prywatnego i nie wyrządziło szkody."
ms

Co Cię gryzie - artykuł czytelnika to rubryka redagowana przez czytelników, zawierająca ich spostrzeżenia na temat otaczającej nas trójmiejskiej rzeczywistości. Wbrew nazwie nie wszystkie refleksje mają charakter narzekania. Jeśli coś cię gryzie opisz to i zobacz co inni myślą o sprawie. A my z radością nagrodzimy najciekawsze teksty biletami do kina lub na inne imprezy odbywające się w Trójmieście.

Opinie (247) 10 zablokowanych

  • Podstawowe zasady życia w Polsce (1)

    Nic nie wiem. Nic nie widziałem. Nic nie słyszałem. Nie znam nikogo. Nikomu nie pomagam, dbam tylko o siebie... jakiekolwiek odstępstwo grozi sądem lub kalectwem....

    • 23 0

    • przeciez tego chcieliscie

      sami pisaliscie tu na forum, ze nie chcecie wscibskich sasiadow, ze nie chcecie znac nawet ich imienia, maja sie do Was nie odzywac i najlepiej traktowac jak powietrze. A teraz argumenty typu" nic nie wiem, nikogo nie znam?"

      • 3 0

  • Prawo jest tu jasne (1)

    Nie są istotne intencje, czy nawet świadomość działania.
    Złamaniem prawa jest już samo uzyskanie dostępu do danej informacji, adres który ten człowiek uzyslał został wyciągnięty z kodu uruchomionego skryptu, a to jest działanie wykraczające dalece poza normalne korzystanie z tego oprogramowania.

    I nie ma się tu czemu dziwić, że stanie teraz przed policją oraz zapewne przed prokuratorem, który zapewne po zaznajomieniu się z jego wersją (jeśli ona się potwierdzi) to podejmie decyzję o umorzeniu postępowania bez stawiania zarzutów ze względu na niską szkodliwość czynu i działanie w dobrej wierze, może nawet ze względu na brak znamion czynu zabronionego.

    Natomiast z całą pewnością nie ma żadnego "automatu" który miałby jakoś magicznie znikać czyny zabronione dokonane w dobrej wierze.

    • 4 1

    • bzdura. do kodu masz zawsze i wszedzie dostep z poziomu kazdej przegladarki.

      ale dla ciebie to pewnie czarna magia i uzywasz jedynie smartfonu :P

      • 1 1

  • Chyba muszą przesłuchać? (3)

    Skoro już zostało zgłoszone na policję, to czy teraz nie muszę przesłuchać wszystkich świadków, w tym osoby która zgłosiła? Może muszą teraz spisać Twoje zeznania, tylko przykre że namierzaja Ciebie przez rodziców/sąsiadów. Jeżeli zgłasza się takie coś i podaje swoje dane, to chyba trzeba się spodziewać kontaktu ze strony policji. Oby tylko ten kontakt był w miarę kulturalny, co pewnie zależy od obu stron. Tak mi się wydaje... Oczywiście trzymam Twoją stronę!

    • 2 3

    • Na przesłuchanie to dostaje się wezwanie (1)

      A już na pewno w celu przesłuchania nie idzie do ciebie 5 policjantów

      • 1 1

      • jak to nie?

        do mnie jak jada to zawsze biora posilki. Hot gogi i kawe.

        • 0 0

    • pewnie portal doniosl na niego. mogl nie pisac tu o tym.

      • 0 0

  • Współczuje. (24)

    Nie warto widać pomagać innym.
    Choć i tak zrobił Pan dobrze.

    • 386 10

    • (7)

      To tylko jedno zdarzenie, warto pomagać innym a nawet trzeba, mimo przeciwności.
      Bardzo dobrze Pan zrobił i trzymam kciuki by wszystko skończyło się pomyślnie.

      • 15 1

      • Czyli prawomocnym skazaniem za wytykanie nosa w nie swoje sprawy? Bo władza nie lubi jak jej się błędy wytyka? (3)

        • 15 3

        • Jaka władza? Przecież to prywatna firma Playprint. (2)

          • 6 3

          • Prywatna firma na zlecenie Krajowej Administracji Skarbowej. Czyli jakiś misiewicz musiał się pod tym podpisać. (1)

            A skoro jest afera, to znaczy że nie sprawdził co podpisał, czyli jest podejrzenie że się nie zna, jest dyletantem, a takie misiewicze nie lubią jak im się patrzy na ręce.

            • 12 4

            • A ty taki forumowy misiewicz, co?

              To miasto zleciło organizację tej loterii, urząd skarbowy wydał tylko zdrowe. Nie wyszło, bo władze miasta Gdańsk to organizowały.

              • 1 1

      • tjaaaa .... jak z samochodem Szydło (2)

        zawinił PiSi kierowca SOP ... a latami ścigają niewinnego kierowce cienkocienko
        już nie mówię, że od początku chcieli go "WroBiĆ" w winnego !!!

        • 13 4

        • Znowu kwiczysz ? (1)

          • 3 13

          • dostałeś zlecenie od broszki ubeku pissowski?

            • 5 6

    • To jest polacka policja wlasnie

      • 5 0

    • warto pomagać i walczyć z ciemnotą i zacofaniem ... (1)

      • 11 0

      • Nie wygrasz. Ciemnota jest wspierana z samej góry ... z Żoliborza.

        • 8 1

    • (3)

      Wy chyba niepoważni jesteście. Przecież nie wiadomo czemu go szukali... Ja na jego miejscu najpierw zadzwoniłbym na policję i zapytał się o co chodzi, a nie pisał art. na trojmiasto.pl... aż nie chce mi się wierzyć, że tyle ludzi ma problem z logicznym rozumowaniem...

      • 5 30

      • Problem, masz również ty. (1)

        Jeśli go szukali, to mocno nieskutecznie. Wystarczyło się umówić na rozmowę, wezwać czy coś w tym rodzaju. Policja potrafi takie rzeczy robić. No, ale to jest Polska, lepiej rozpytać tak żeby wszyscy wokół wiedzieli i żeby delikwent odczuwał niepokój. Lepiej każdego potraktować jak potencjalnego przestępcę. Bez zapowiedzi to się wpada do przestępców, wiem bo mam takich za ścianą i różne służby się nimi interesują między ich odsiadkami.

        • 17 1

        • Oczywiście masz rację. Mogli najpierw spróbować się kontaktować telefonicznie, ale tak to jest z tą naszą policją. Mój ojciec jak się szarpał z złodziejem piwnic na głównej ulicy to nikt mu nie pomógł. Złodziej ostatecznie się wyrwał pozostawiając wielki worek fantów. Co powiedziała policja? Proszę przyjść na komendę i przynieść worek fantów... taka sytuacja:)

          • 9 0

      • Ta.... może o ciebie co jakiś czas rozpytuje policja

        większość ludzi nawet nie wie, jak wygląda ich dzielnicowy

        • 19 1

    • Tytuł powinien brzmieć: " Pomógł chronić dane, a poiwinien mieć wy....." (4)

      • 61 2

      • To już za Dulkiewitz było? (2)

        • 8 8

        • (1)

          No za ciebie pampers to nie było i nigdy nie będzie siuśmajtku pissowski

          • 6 8

          • Jest obrońca urzędników wyzywający wszystkich od pampersów.

            Centrum Multimedialna Gdańska za 4 mln rocznie działa.

            • 4 4

      • wy.... nagrodzone?

        ;)

        • 9 0

    • Miał sobie Mossad...

      ...furtkę do danych, przyszedł taki jeden i im zabrali. Teraz jegomość może mieć problemy, jak się nie wyhuśta w celi to może się dowiemy.

      • 10 1

    • Jojo buduje statystyki plus

      • 7 3

    • Biedak, teraz na jego trupie chca sie wykazac kolejne wilki

      I robia nagonke a z niego uczyniono ofiare

      • 13 1

    • troche to dziwne

      pamiętam ile "błędów" było z programem do liczenia głosów w wyborach samorządowych, tutaj program napisany chyba przez licealistę... wspólny mianownik - zamówienia publiczne. Wygląda jakby ciocia załatwiła synkowi pracę....

      • 34 0

  • Gdzie jest do sciagniecia ten plik?

    chcialbym sprawdzic czy mnie zarejstrowano.

    • 1 2

  • Kolega czytelnik (3)

    Kolego czytelniku nie badz naiwny. Sciagnales na swoj komputer dane osobowe 18 tys ludzi a potem oznajmiles ze je skasowales i uwazasz ze ktos ma ci uwierzyc na slowo bo jestes jakims tam ekspertem od zabezpieczen ktorym notabene sam sie w internecie okrzyknales? Bardzo dobrze ze Policja spradza takie sytuacje. Jestes niewinny to nie masz sie czego bac

    • 16 38

    • Taa. I w tym oczywiście celu przyszło pięciu funkcjonariuszy. Celem "sprawdzenia" sprzęt "sprawdzanego" zostanie "zabezpieczony", czytaj zaaresztowany na czas niezbędny do wyjaśnienia sprawy. Znając prędkość działania naszych organów będzie to kilka lat.
      Tak więc zgodnir z zasadą:
      Pomyślałeś? - nie mów.
      Powiedziałeś? - nie pisz.
      Napisałeś? - nie podpisuj.
      A jak już podpisałeś... Nie dziw się.

      • 2 0

    • (1)

      Ale jak technik z policji zarekwiruje komputer i wszystkie dyski w celu zbadania czy faktycznie usunął, i będziesz bez kompa przez co najmniej rok, to inaczej będziesz śpiewał.

      • 22 1

      • Dlatego nigdy się w takich sprawach nie pomaga. Swoją drogą odzyskanie sprzętu po roku to i tak optymistyczny scenariusz, większość osób nie dostaje go nigdy (a po paru latach i tak jest nic niewarty, więc nie ma co się siłować). Chcesz stracić wszystkie swoje dane? Pomagaj policji! :)

        • 9 1

  • Bo w firmie organizującej loterię siedzą niekompetentni ludzie.

    To oni zgłosili sprawę na Policję, w sytuacji gdy nic nie wyciekło, według niebezpiecznika korespondencja była prowadzona w sposób przejrzysty, bez żadnych prób szantażu, wtedy się tego nie zgłasza. Jeśli dane nigdzie do internetu nie wyciekły to nie ma potrzeby zgłaszać tego Policji i większość serwisów również zagranicznych często nawet o tym nie informuje użytkowników i nie jest to sprzeczne z rodo. Zresztą jak ktoś jest regularnym czytelników zaufanej 3 strony czy niebezpiecznika to wie, że są takie właśnie sytuacje. Polecam panu Adamowi zgłosić się do redakcji jednej z tych stron. Pomogą panu z tym problemem.

    • 2 3

  • co za bzdury wygaduje ten "poszkodowany"

    gdy go proszono by oddał pobrane dane powiedział ze tego nie zrobi

    • 4 1

  • (4)

    Hahaha, Policja... do czego oni się nadają?

    Kiedyś jakiś nadgorliwy cieć w Biedronce oskarżył mnie o kradzież..bo coś chowałam do torebki. Tym czymś był mój telefon. Do ciecia niestety to nie docierało, na zapleczu robił mi zdjęcia, lżył, wyzywał, wydzwaniał po swoich kolegach z innych Biedronek rechocząc "wyślę Ci zdjęcia takiej jednej k...., powiedz mi czy u was też kradła'. Policjanci z patrolu też nie lepsi. Nie chcieli mi uwierzyć,że ten i**ota mnie wyzywał, nie sprawdzono mu też telefonu (nie nagrywałam sytuacji bo bałam się, że psychol rozwali mi telefon). Po ujawnieniu,że nie mam w torebce nic co byłoby własnością sklepu, nakazano mi wręcz nie pojawiać się w nim więcej, bo się "podejrzanie kręciłam".

    Skarga do KWP Gdańsk złożona, a odpowiedź w stylu "Policjanci muszą być obiektywni".

    • 8 1

    • Jeżeli to co piszesz jest prawdą (a nie chce mi się wierzyć) to po pierwsze jesteś frajerką, że dałas się gdzieś zaprowadzić (3)

      Gdyż jest to bezprawne zatrzymanie. Żaden cieć nie ma prawa nigdzie cię zaprowadzić i czegokolwiek sprawdzać, czy to w torebce, czy to w kieszeniach. Dwa - dziś każda rozmowa telefoniczna, a szczególnie takie zatrzymanie musi być nagrywane. Więc polecam aplikacje nagrywające do telefonu - dyktafon, który mozesz włączyć w sekundę i aplikację do nagrywania rozmów telefonicznych działająca zawsze w tle (są takie jeszcze działające mimo trudności robionych przez google). Jak masz wszystko nagrane, to od razu zakładasz sprawę za bezprawne zatrzymanie, naruszenie nietykalności osobistej i znieważenie.

      • 1 1

      • (2)

        Cieć wielki jak szafa trzydrzwiowa vs drobna dziewczyna 160 cm wzrostu. Złapał mnie za kurtkę i zawlokl do kanciapy.

        • 3 0

        • i tam molestowal.

          a w tvn mowia, ze pedo sa tylko w kosciele.

          • 1 0

        • pozwij gnoja o naruszenie nietykalności

          jeśli masz dość siły, żeby się użerać z systemem...

          • 0 0

  • Skoro nie masz wezwania do prokuratury to nie ma co się przejmować (2)

    Pewnie wyjaśniają okoliczności, najwyzej wezwą jako świadka

    • 2 4

    • Albo przyjdą o 6 rano

      i zapukają tuzinem granatów hukowych...

      • 0 1

    • poczytaj Kafkę, a potem zrewiduj swoją pewność

      • 0 0

alert Portal trojmiasto.pl nie ponosi odpowiedzialności za treść opinii.

Najczęściej czytane