Nový spôsob sprístupňovania dokumentov otvoril verejnosti údaje, ktoré môžu uľahčiť podvody či cielené útoky. Zisťovali sme, čo s nimi dokáže útočník spraviť a čo odporúča Úrad na ochranu osobných údajov.
Tvoje rodné číslo, adresa alebo podpis môžu byť práve teraz verejne dostupné na internete. Nejde pritom o hackerský útok ani únik zo súkromnej databázy - tieto údaje sprístupnil štát cez nový obchodný register.
Ten funguje od 17. augusta a verejnosti sprístupnil aj dokumenty, v ktorých sa môžu nachádzať rodné čísla, adresy, podpisové vzory či v niektorých prípadoch čísla občianskych preukazov.
Bezpečnostní experti upozorňujú, že problém nekončí pri tom, že si ich niekto môže pozrieť. Údaje možno zbierať vo veľkom, prepájať s ďalšími informáciami a využiť pri cielených podvodoch.
IT bezpečnostný expert Pavol Lupták z Nethemby tvrdí, že vytvorenie nástroja na takéto získavanie údajov dnes nepredstavuje pre človeka z IT veľkú technickú prekážku. „Podľa mňa to zvládne akýkoľvek informatik za večer. Nie úplne bežný človek, ale ak je to človek, ktorý sa venuje počítačom, napromptuje to za večer,“ povedal pre Refresher Lupták.
Nethemba takýto nástroj sama vytvorila. Podľa jej zistení dokáže z dokumentov v registri automaticky získavať napríklad rodné číslo, trvalú adresu či podpisový vzor a priraďovať ich ku konkrétnym osobám.
Útočník môže vedieť oveľa viac než len tvoje meno
Riziko podľa Luptáka rastie najmä vtedy, keď niekto cieli na konkrétneho človeka. Ako príklad uvádza politika, podnikateľa alebo inú verejne známu osobu. Údaje z obchodného registra sa totiž podľa neho dajú kombinovať s ďalšími verejne dostupnými informáciami. Útočník tak môže získať podstatne podrobnejší profil svojej obete.
Za jedno z najrealistickejších rizík považuje sociálne inžinierstvo a cielený phishing. Podvodník už nemusí volať s niekoľkými všeobecnými údajmi. Môže poznať rodné číslo, adresu, číslo dokladu či informácie o firme človeka, za ktorého sa chce vydávať.
„Keď vám taký človek zavolá a bude sa vydávať za vašu banku, budete mu skôr veriť, pretože pozná všetky vaše osobné informácie,“ vysvetľuje Lupták. Nethemba upozorňuje aj na ďalšie možné scenáre – od falšovania listín cez cielené podvody až po prepájanie informácií s ďalšími databázami.
Verejný podpis môže uľahčiť výrobu falzifikátu
Lupták osobitne upozorňuje na podpisové vzory. Ak útočník pozná podobu podpisu a zároveň disponuje ďalšími identifikačnými údajmi človeka, podľa experta sa mu jednoduchšie vytvára presvedčivá falošná listina. Nethemba medzi príkladmi uvádza plnomocenstvo, zápisnicu z valného zhromaždenia či dokumenty súvisiace s prevodom obchodného podielu.
Ďalším problémom je adresa. Odborník upozorňuje, že údaje o firmách sa dajú kombinovať napríklad s informáciami o obchodných podieloch a následne použiť na výber ekonomicky zaujímavých cieľov.
1. Otvor obchodný register a vyhľadaj firmu, s ktorou máš alebo si mal väzbu.
2. Otvor jej zoznam dokumentov.
3. Skontroluj najmä spoločenskú zmluvu, podpisový vzor a súhlas s ustanovením do funkcie.
4. Pozri, či dokument neobsahuje tvoje rodné číslo, adresu, podpis alebo číslo dokladu.
Ak údaje niekto skopíroval, už ich nevrátime späť
Človek, ktorý by údaje sťahoval vo veľkom, môže svoju identitu pomerne dobre skryť. Podľa Nethemby môže použiť anonymizované servery či meniace sa IP adresy, takže spätne zistiť, kto údaje získal, môže byť veľmi ťažké.
Lupták preto upozorňuje, že ani neskoršie začiernenie údajov automaticky nevyrieši všetko. Ak si ich už niekto skopíroval do vlastnej databázy, tá môže ďalej existovať nezávisle od obchodného registra.
Mimoriadne problematické je aj rodné číslo. Na rozdiel od hesla či platobnej karty ho človek za bežných okolností nevymení.
Úrad ľuďom radí, aby konali preventívne
Úrad na ochranu osobných údajov SR (ÚOOÚ) pre Refresher vysvetlil, že dotknutí ľudia nemusia individuálne hlásiť úradu, že sa ich údaje v obchodnom registri objavili. Mali by si však skontrolovať dokumenty pri firmách, ku ktorým majú alebo v minulosti mali väzbu ako štatutári, spoločníci či iné osoby uvedené v dokumentoch.
Citlivé údaje sa totiž nemusia nachádzať vo verejnom výpise. Môžu byť napríklad v spoločenskej zmluve, podpisovom vzore alebo súhlase s ustanovením do funkcie. Ľudia by podľa úradu mali sledovať aj svoj zápis v obchodnom registri. Ak sa v ňom objaví zmena, ktorú sami neiniciovali, majú bezodkladne kontaktovať príslušný registrový súd.
Verejné neznamená voľne použiteľné
ÚOOÚ zdôrazňuje, že to, že boli dokumenty verejne dostupné, ešte neznamená, že si ich môže ktokoľvek stiahnuť, vytvoriť si z nich databázu a ďalej ich šíriť. Toto pravidlo sa týka jednotlivcov, spoločností aj redakcií. Podobne situáciu hodnotí právnik a špecialista na ochranu osobných údajov JUDr. Tomáš Jendrál zo spoločnosti Codamore. „Verejne dostupné neznamená voľne použiteľné,“ upozorňuje. Ak niekto tieto údaje ďalej používa, musí na to mať právny dôvod.
Zákon chráni údaje vo výpise, pri dokumentoch je režim iný
Ministerstvo spravodlivosti tvrdí, že dokumenty zverejňuje preto, že mu to prikazuje zákon. Právnik Tomáš Jendrál však upozorňuje, že samotná existencia zákona ešte neznamená, že je rozsah zverejnených údajov v súlade s GDPR.
Zákon na jednej strane hovorí, že rodné číslo či bydlisko sa vo výpise zverejňovať nemajú, no zároveň prikazuje zverejniť aj dokumenty, ktoré takéto údaje obsahujú.
Podľa Jendrála to ale neznamená, že štát musí tieto údaje ponechať čitateľné. Dokument môže zverejniť aj po ich anonymizovaní, podobne ako to robí pri niektorých iných verejných registroch.
Spor sa môže skončiť aj právnymi nárokmi
Jendrál za spôsob, akým sa dokumenty na portáli zverejňujú, považuje za zodpovedné Ministerstvo spravodlivosti SR. Úrad na ochranu osobných údajov už voči ministerstvu začal konanie. Minister spravodlivosti Boris Susko predtým obhajoval aktuálnu právnu úpravu a ministerstvo tvrdilo, že register plní zákonnú povinnosť.
Človek nemusí čakať na ukradnuté peniaze
Ak zverejnenie údajov spôsobí človeku ujmu, môže sa podľa Jendrála domáhať náhrady. Nemusí ísť len o finančnú škodu - za určitých okolností môže ísť aj o stratu kontroly nad osobnými údajmi alebo odôvodnenú obavu, že ich niekto zneužije.
Pri žalobe však môže byť najväčším problémom dokazovanie. Človek by musel preukázať, že údaje, ktoré niekto zneužil, získal práve z obchodného registra a nie napríklad zo staršieho úniku.
Jendrál odporúča uchovať komunikáciu, podať trestné oznámenie a vyžiadať si od banky, operátora či inej inštitúcie záznam o tom, akými údajmi overovali tvoju totožnosť.
Štát podľa experta musí citlivé údaje začierniť
Pavol Lupták z Nethemby vidí dve hlavné možnosti, ako môže štát ďalšie riziko obmedziť:
Anonymizovať citlivé údaje – začierniť rodné čísla, podpisové vzory a ďalšie citlivé údaje priamo v dokumentoch.
Sprísniť prístup k dokumentom – napríklad ho naviazať na elektronický občiansky preukaz alebo inú formu identifikácie, aby systém dokázal zaznamenať, kto ku konkrétnym dokumentom pristupoval.
Podľa Luptáka by tieto opatrenia mohli výrazne obmedziť ďalšie riziko. Pri údajoch, ktoré už boli verejne dostupné, však štát nemá úplnú kontrolu nad tým, či ich niekto medzitým skopíroval a uchoval mimo registra. Preto si dávaj väčší pozor na to, kde a ako sa tvoje osobné údaje používajú.
