Jak bank przechowywał dane osób ubiegających się o praktyki i staże

Dokumenty, które są listowane w Google, ale nie są pokazywane po kliknięciu w link też można przeczytać. Wystarczy skorzystać z techniki tzw. cache-slidingu. Więcej o tym u mnie ;-)

P.S. Ponoć gdzieś na Rapidshare ktoś rano wrzucił mirror zbioru CV...

Komisja nadzoru bankowego już nie istnieje, jest KNF - Komisja Nadzoru Finansowego.

Oczywiście w całej sieci trwa dyskusja. Dziś od rana (a dziś jest 12 lipca) ludzie wchodzili do tych zasobów, o których przepytywane przez dziennikarzy osoby mówiły, że zablokowano je 8 lipca. Nie koniecznie wchodziły tam przez cache Google (dziś rano można tam było wejść bezpośrednio). W komentarzach pod pierwszym wykopem tej sprawy (czyli w Wtopa banku pekao s.a., 12-07-2008, 02:04; to jest wykop Glucika, który wykopał swój wpis w blogu z 11 lipca) widać, że te CV były dostępne jeszcze dziś w nocy, były również w cache Google, a dopiero w pewnym momencie bank zawiesił stronę.

Dlatego istotne jest, by sprawdzać timeline doniesień. Na marginesie zacytuję fragment jednego z komentarzy pod wykopem (aql, 12-07-2008, 11:42):

Będzie informacja o tym, że hakerzy włamali się do bazy danych systemu rekrutacyjnego banku Pekao S.A.
(...)

To jest odpowiedz na stwierdzenie z godziny 10:50, kiedy użytkownik biskup napisał: "Piękne znalezisko. Założę się że dziś o tym w TV powiedzą."

Zareagowano dopiero dziś, tj. 12-07-2008 około 12:31. Wtedy zablokowano dostęp do zasobów (error 404). Prawdopodobnie po tym, jak Gazeta.pl napisała swój tekst (a to było około godziny 12:00). Na tej podstawie myślę, że ludzie z agencji przygotowującej witrynę dla banku nie przekazali prasie pełnego obrazu sprawy. Chyba, że należy - tak naprawdę - wypowiedź agencji (tj. "Kiedy tylko dostaliśmy o tym informację, w ciągu kilku minut przywróciliśmy dane konfiguracyjne i zablokowaliśmy dostęp do strony - wyjaśnia") rozumieć tak, że agencja dowiedziała się o całej sprawie dziś, około godziny 12:00. A więc te CV były dostępne dla wszystkich (w tym dla bota Google, któremu zwykle trochę czasu zajmuje zaindeksowanie takiego materiału) przez kilka ostatnich dni, w czasie których administratorzy opiekujący się serwisem przygotowanym na rzecz banku...

Jest godzina 21:56 i dane tych ludzi nadal są dostępne w sieci, w cache Google. Zdejmując serwis pewnie nie zostawiono robots.txt; inna sprawa, że Google jakoś mogłoby zareagować na taki incydent, chociaż nie jest to wygodne działanie, gdyż w przypadku zaangażowania się dziś - w przyszłości inni będą się domagać od Google tego samego...
--
[VaGla] Vigilant Android Generated for Logical Assassination

Screen jest prawdziwy. Sam byłem na tej stronie kiedy jeszcze funkcjonowała (dziś w okolicach 12) i mogę to potwierdzić :)
Z punktu widzenia informatyka mogło być po prostu tak, że wrzucano pliki na serwer, a zapomniano zabezpieczyć katalogu, przez co serwer wygenerował jego listing.

Z drugiej strony faktycznie mogło być tak, że dostęp do tych plików stał się możliwy po włamaniu. Zwłaszcza, że jak napisał sam włamywacz, miał dostęp do konta ftp.

Na niechlujność może wskazywać fakt, że Google zaindeksowało te strony przed publikacją pierwszego doniesienia u Glucia (który sam się o nich dowiedział przeszukując Google). Ciekawe jest też, że jeśli faktycznie post był z 8 lipca (a można przypuszczać, że tak, bo sama firma tak twierdzi, a ma pewnie ważniejsze podstawy), to jak to możliwe, że nikt się nie zorientował? To jest dopiero ignorancja!

Z indeksowaniem plików przez Google mogło być tak, że nie było do nich dostępu bezpośredniego (w sensie linka prowadzącego do tych zasobów). Wystarczy, że osoba opiekująca się stroną miała zainstalowany Google Toolbar. To narzędzie wysyła do Google adresy stron, które odwiedzamy. Dzięki temu zdarza się, że indeksowane są stron przed ich ukończeniem.
Wiedza ta jest raczej dostępna i jeżeli ktoś sobie nie życzy aby pewne zasoby były indeksowane (zarówno w trakcie obróbki, jak i po ukończeniu) to powinien o to zadbać. Od tego jest zabezpieczenie hasłem, czy wręcz "przegnanie" robota Google przy użyciu robots.txt

Moim zdaniem nie można zwalać winy na użytkowników, którzy pobrali pliki. Nie dokonali oni wszak żadnego przełamania zabezpieczeń, bo takowych nie było.

Kwestia odpowiedzialności podmiotu zarządzającego danymi jest oczywista, ale interesuje mnie odpowiedzialność Google w tej sprawie. Popatrzmy: teraz 13-tego rano, długo po tym jak strona została zablokowana, wciąż można wyszukać w Google ponad 1000 dokumentów i obejrzeć ich zawartość przez klikniecie w "wersje html".

Google pisze: "G o o g l e automatycznie generuje wersję html dokumentu podczas indeksowania Sieci."

Dla mnie oznacza to, ze firma Google nie tylko indeksuje (co byłoby w porządku) ale równiez w sposób automatyczny sama udostępnia (a wiec w rozumieniu prawa - ROZPOWSZECHNIA) dane, których rozpowszechniać nie ma prawa.

To tak jakbym ja udostępniajać w sieci pliki MP3 tłumaczył się, że mogę, bo znalazłem je na innych, niezabezpieczonych stronach sieci (np pirackich) a nikt się do mnie wprost nie zwrócił o ich usuniecie. Analogia nie jest do końca trafna, bo w przypadku CV nie ma zastosowania ustawa o prawie autorskim, ale z cala pewnością właściciele CV nie dali _firmie Google_ prawa do przetwarzania danych osobowych i ich rozpowszechniania!

Czy wiec Google mógłby przegrać w Polsce ewentualny pozew o przetwarzanie i rozpowszechnianie danych osobowych bez zgody tej osoby?

Jakiś rok temu na moim forum wypłynęła bardzo podobna sprawa, zresztą potem było o tym głośno w mediach. Nie mam pojęcia jak ona się ostatecznie zakończyła, jako że seria awarii u dostawcy serwera powodowała permanentne przerwy w pracy forum. Pozwolę sobie podlinkować, bo podobieństwo między sprawami jest po prostu zadziwiające...

A Policji znowu należy pogratulować znajomości kodeksu karnego...

To jest dopiero ciekawostka:
http://napisy.info/News241.html

Zgodnie z przewidywaniem - internauci zrobili backupy kompletu cv i listów motywacyjnych, które przez te kilka dni wisiały w Sieci (jeśli wierzyć w wersję z atakiem hackera, który zmienił 8 lipca pliki konfiguracyjne i doprowadził do ujawnienia tego, co było wcześniej ukryte). Pojawiło się ciekawe pytanie w serwisie Piotra Potery: "Ciekaw jestem, co by zrobiło PEKAO, gdyby ktoś umieścił trackera do pliku na thepiratebay.org", a na dowód tego, że autor zebrał aplikacje ubiegających się o staż opublikował również screenshot z listą plików na swoim komputerze:

--
[VaGla] Vigilant Android Generated for Logical Assassination

Generalny Inspektor Ochrony Danych Osobowych wypowiedział się w sprawie internetowej dostępności życiorysów osób, które ubiegały się o staż ("które nie są klientami banku"). GIODO stwierdził, że banki są instytucjami zaufania publicznego, że do tej pory uważał, że banki są dobrze zabezpieczone i, że "teraz mamy pierwszą taką sytuację, w której może należałoby się temu przyjrzeć". Nagranie z wystąpieniem ministra Michała Serzyckiego udostępniono w serwisie TVN24: Tysiące CV Pekao SA nadal dostępne w sieci. Czyli GIODO rusza od poniedziałku.

W tym samym tekście deklaracja cytowanego we wstępie tego wątku p. Mierzwy: "Oczywiście będziemy chcieli wyciągnąć konsekwencje wobec firmy, która wykonała nam stronę. Będziemy działać, aby winni zostali ukarani". I jest jeszcze kilka słów o relacjach z Google i innymi wyszukiwarkami:

Rzecznik podkreślił również, że bank jest w kontakcie ze wszystkimi wyszukiwarkami po to, by zablokować wszystkie odnośniki, które zawierają te dane. Szybko okazało się jednak, że "ten kontakt" jest miało skuteczny.

Ale na stronie zainwestujwprzyszlosc.pl nie umieszczono pliku robots.txt...

--
[VaGla] Vigilant Android Generated for Logical Assassination

Zaraz po publikacji linku w portalu gazeta.pl pobrałem CV. A pobrane CV udostępniłem znajomym którzy byli także ciekawi o co chodzi z ta aferą. Grozi mi za to jakaś odpowiedzialność karna ?

Pozdrawiam

Komentarz GIODO zwalił mnie z nóg salwą śmiechu. Panie Inspektorze, poziomu zabezpieczeń nie bada się wyrabiając sobie opinie na temat banków, o których Jego Ekscelencja uważa, że są w porządku. Znaczy, że nie wywiązał się Pan z roboty, nigdy tego nie dociekając a mając wyłącznie obiegową opinię. Ewentualnie może Pan sprawdzić kompetencje osób przyznających firmom ISO, w tym mogę Panu nieco pomóc, bo mam rozeznanie, że przychodzą do firm emeryci z komisji, którzy nie wiedzą co to jest port protokołu.

Pewnie było już to kiedyś omawiane, ale przy okazji pokazuje to kwestie związane z traktowaniem pliku robots.txt .

Brak pliku robots.txt oznacza zgodę na wszystko (przeglądanie, cachowanie itd). Czy to prawidłowa konstrukcja? W większości wypadków w prawie autorskim nie ma domniemania "póki nie zabronione to dozwolone". Gdyby w robots.txt było "możesz przeglądać i cachować", to nikt do google nie mógłby mieć pretensji. A tak...

Rzecznik Mierzwa po raz kolejny powtórzył story o hackerach oraz dodał, że jest "w kontakcie z wyszukiwarkami" w zasobach których INTERNAUCI UMIEŚCILI życiorysy przechowywane na stronach zainwestuj[...].pl...

A wracając do sedna sprawy: w pracach KE dot. prawa telekomunikacyjnego pojawia się postulat wprowadzenia możliwości występowania przez poszkodowanych wlaścicieli danych osobowych z tzw class actions czyli pozwami zbiorowymi przeciwko administratorom baz danych osobowych. W kontekście tej sprawy postulat wydaje się być słuszny. Jestem bowiem przekonany, że podobnie jak w przypadku www.nasza-klasa.pl (ewidentne naruszenie zasad przetwarzania danych osobowych całkowicie zignorowane przez GIODO) tak i w tej sprawie, GIODO strzeli sobie w stopę... (na prokuraturę w ogóle nie liczę, choćby dlatego, że naruszenie zasad przetwarzania danych jest ścigane na wniosek pokrzywdzonego)... Profeci wszystkich krajów łączcie się! ;-)

A jak się nasze polskie prawo odnosi do "włamania" przez otwarcie odpowiednio spreparowanego adresu URL? Bo to sprawa znacznie szersza, niż tylko "security by obscurity", czyli "zabezpieczenie" polegające na schowaniu danych w katalogu o dziwnej nazwie. Niektóre źle skonstruowane strony WWW pozwalają na odczyt dowolnego pliku z serwera (do którego prawa ma użytkownik, z którego działa daemon http) przez otwarcie strony np. http://example.com/index.php?strona=../../../../../etc/passwd - i teraz czy otwarcie takiej strony jest "włamaniem"? Pytam, bo kiedyś znalazłem podobny błąd w stronie WWW jednej z dzielnic Warszawy, przekazałem informację o tym znajomej pracującej w urzędzie tej dzielnicy, z prośbą, żeby przekazała to informatykom. Tak też zrobiła, i miała z tego powodu kłopoty - była oskarżana o włamanie. Sprawa rozeszła się po kościach, ale niesmak pozostał. W kontekście opisywanej tutaj i w innych miejscach sprawy Mateusza, który wpisał w formularzu logowania odpowiednie dane, pozwalające na dostęp do ukrytych danych, można mieć wątpliwości, czym jest ten czyn. Bo podobnie jak w przypadku Mateusza, i w ten sposób, tj. poprzez URL, można dokonać SQL injection. Tak więc jest to świadome działanie, które ma pozwolić na dostęp do ukrytych danych - tylko czy to jest złamanie, czy obejście zabezpieczeń?

W jaki sposób mógłbym uzyskać informacje czy moje dane wyciekły? W cashu Googla aktualnie nie ma mojego cv, gdyż aktualnie można znaleźć około 900 plików. Wcześniej, jak wiadomo, samych cv było około 3000. Skąd zdobywać informacje? Czy na własną rękę próbować wydobyć wszystkie cv i je przeglądać szukając własnego?

Czy autor mógłby ustosunkować się do treści oświadczenia Arkadiusza Mierzwy - dyrektora biura prasowego PEKAO SA. tj odnośnie "...kiedy zostaną ustalone numery IP tych internautów, którzy wykorzystali błąd informatyków i bezprawnie ściągali na swoje komputery prywatne dane z serwera banku PEKAO SA, osoby te zostaną pociągnięte do odpowiedzialności karnej."

Najważniejsze pytanie: Czy to realne, możliwe do spełnienia?

a dodatkowo:

Czy Pan Mierzwa zamierza pociągnąć do odpowiedzialności "cache" z google? Jak Pan Mierzwa zamierza ukarać tych co mogą oglądać te dane z "cache" google, jak zdobędzie ich IP?

Dlaczego w Polsce trzeba podawac adres zamieszkania w CV? Tak sie zastanawiam, inaczej moze nie byloby az tak wielkiego problemu dla kandydatow na ta prace.

Wirtualna Polska cytuje w tekście Ofiary przecieków z banku dostają miłosne sms-y wypowiedź jednej z osób pokrzywdzonych "wyciekiem danych". Kobieta miała powiedzieć:

Od soboty dostałam już kilkadziesiąt sms-ów i maili z propozycjami matrymonialnymi i ofertami pracy. Dzwonią też do mnie prawnicy, którzy oferują, że pomogą mi napisać pozew przeciw bankowi. Boję się co będzie dalej

W tym samym tekście jest również wypowiedź p. Małgorzaty Kałużyńskiej-Jasak, rzecznika prasowego GIODO:

Sprawdzimy zakres obowiązków działania, do którego został uprawniony ten podmiot - mówi rzeczniczka. Kałużyńska-Jasak zaznacza jednocześnie, że nawet, gdyby wina leżała po stronie zewnętrznej firmy, to bank i tek nie będzie zwolniony z odpowiedzialności. - Nawet jeśli bank powierzył zabezpieczanie danych swoich klientów innemu podmiotowi, to nadal jest administratorem i to głównie na nim ciążą obowiązki odpowiedniego zabezpieczenia poufnych informacji.

--
[VaGla] Vigilant Android Generated for Logical Assassination

Miałem coś podobnego przez 6 miesięcy po tym, jak (prawdopodobnie pracownik PTC) umieścił mój firmowy numer telefonu w serwisie towarzyskim ERY z mało miłym ogłoszeniem. Wiele telefonów i SMS było mocno obraźliwych... Współczuje tym poszkodowanym, żal mi ich....PYTANIE CO DALEJ, kto jest winny?

Bo w moim przypadku jest tak: ponad półtora roku po zdarzeniu, 12 terminów wokand sprawy karnej, 4 się odbyły, i nic dalej nie wiadomo kto był winny? Pracownik zwala na ERA, ERA nie chce dostarczyć do Sądu bilingów i informacji o swoim telefonie służbowym, UKE nic w sprawie nie pomogło, GIODO mi odmówiło, RPO nie ma uprawnień, Prokuratura nie była skłonna ustalić sprawcy... Teraz liczę na proces cywilny z PTC i TS w Sztrasburgu….

A serwis towarzyski PTC nadal rozsyła „paszkwile”, umożliwia podszywanie się pod innych i rozsyła mało powiedziane, wulgarne treści. Na tym wszystkim żeby było fajnie zarabia PTC.

Życzę wszystkim poszkodowanym powodzenia w dochodzeniu swoich racji, jeśli był bym pomocny (nie jestem prawnikiem) ale myślę, że moje doświadczenia w niejednym mogą pomóc. Mój e-mail (loox@op.pl)
Pozdrawiam
Tomasz W

Mnie zaciekawiła jeszcze jedna sprawa: ODF niby tak rośnie w siłę, a zapytanie w google:

"site:www.zainwestujwprzyszlosc.pl zainwestujwprzyszlosc.pl odt" nie zwróciło wyników (pdf: 23, a doc około 1.350). Ciekawe jak wyglądałyby statystyki powiedzmy 100 największych spółek - obawiam się (choć nie mogę tego poprzeć żadnymi danymi), że podobnie. Cieszy chociaż nie zerowy udział pdf :)

This comment has been moved here.

This comment has been moved here.

Czy sądy w koncu stwierdzily kto jest winny w spawie possum i pekao?
pozdr. mike