Dalszy ciąg wycieku danych z Wykop.pl - Policja ustaliła sprawców...

Policja zatrzymała ludzi, którzy - jej zdaniem - są odpowiedzialni za wydobycie danych użytkowników serwisu Wykop.pl (por. Warto mieć różne hasła w różnych serwisach (społecznościowych) czyli wyciek danych z Wykop.pl). Policja twierdzi również, że "odzyskano wszystkie skradzione kopie bazy danych". W opisie działań sprawcy komunikat policji wspomina o "pokonaniu zabezpieczeń".
Aktualizacja: dodałem komentarz p. Michała Białka z serwisu Wykop.pl, którego zapytałem o kilka spraw.

Wcześniejsze doniesienia sugerowały, że baza użytkowników nie była dostatecznie zabezpieczona, co pozwoliło na jej wydobycie przez osoby trzecie (stosowny fragment loga z kanału IRC: "(...) 19:55 < mepholic> no root password on sql; 19:56 < mepholic> mepholic@abydos:~$ mysql -h 91.102.117.202 -u root; 19:56 < mepholic> Welcome to the MySQL monitor. Commands end with ; or g. (...)"). Sposób zabezpieczenia danych ma istotne znaczenie dla oceny prawnej działań sprawcy (por. "Nie można przełamać czegoś, co nie istnieje" - polski wyrok w sprawie SQL Injection). Jak się wydaje - z wykorzystaniem danych użytkowników serwisu Wykop.pl dokonano następnie pewnych operacji w serwisie aukcyjnym Allegro (sprawdzając, czy użytkownicy Wykop.pl mają również konto w Allegro i czy posługują się tam tymi samymi hasłami, które znaleziono po odhashowaniu haseł z bazy Wykop.pl; po przejęciu kont w serwisie Allegro sprawca - jak się wydaje - wziął udział w aukcjach, licytując w imieniu osób, których konta przejął).

W każdym razie Policja ogłosiła, że złapała sprawców (wykopowicze znaleźli go wcześniej?). Komunikat w tej sprawie opublikowano dziś na stronach wielkopolskiej Policji. W notatce zatytułowanej KWP- Ustalono hakerów, którzy skradli dane użytkowników serwisu internetowego czytamy:

Policjanci z KWP w Poznaniu ustalili osoby odpowiedzialne za włamanie na serwer komputerowy firmy wykop.pl i kradzież bazy danych ponad 100 tys. zarejestrowanych na nim użytkowników. Funkcjonariusze odzyskali i zabezpieczyli skradziony wykaz loginów i zaszyfrowanych haseł. Za włamanie i kradzież danych informatycznych oraz zakłócenie działania baz danych grozi kara do 3 lat więzienia.

Administratorzy serwisu internetowego wykop.pl 20 sierpnia stwierdzili, że kilka godzin wcześniej poprzez sieć internetową nastąpił atak hakerski na ich serwer. Po pokonaniu zabezpieczeń sprawcy ukradli plik zawierający bazę danych użytkowników serwisu. W bazie znajdowały się loginy i zaszyfrowane hasła do kont internautów.

Sprawą zajęli się policyjni eksperci z Wydziału do walki z Przestępczością Gospodarczą Komendy Wojewódzkiej Policji w Poznaniu. Po analizie szczegółowych informacji przekazanych przez administratorów serwisu funkcjonariusze zajmujący się przestępczością komputerową ustalili, w jaki sposób przeprowadzili atak i włamanie na serwer. Ponadto śledczy stwierdzili, że internetowi złodzieje udostępnili skradzione dane kilku innym osobom. Dopuścili się także swoistego szantażu wobec okradzionego serwisu. Grożąc ujawnieniem całej bazy danych oczekiwali od serwisu „ciekawych propozycji”.

Wytropienie i ustalenie hakerów zajęło policjantom kilkanaście dni. Pomocna była przy tym bliska współpraca z administratorami zaatakowanego serwisu. Okazało się, że wytypowane osoby pochodzą z różnych miast. Główna trójka podejrzanych, odpowiedzialna za włamanie, to osiemnastolatek z Olsztyna i dwóch piętnastolatków z Włocławka i Braniewa. Pozostałe osoby zamieszane w sprawę to mieszkańcy Bielska Białej, Braniewa i Poznania. Podczas przeszukania mieszkań policjanci zabezpieczyli sprzęt komputerowy. Odzyskali także wszystkie skradzione kopie bazy danych. Nie ma żadnych wiarygodnych informacji, że obecnie dane użytkowników są w jakikolwiek sposób zagrożone.

Za włamanie i kradzież danych informatycznych oraz zakłócenie działania baz danych grozi kara do 3 lat więzienia.

PS

Na pytanie "czy władze spółki Wykop sp. z o.o. wiedzą, czy ktoś złożył przeciwko nim doniesie o możliwości popełnienia przestępstwa z art 50, 51 lub 52 ustawy o ochronie danych osobowych?" p. Michał Białek z serwisu Wykop.pl odpowiedział: "na ten moment nie uzyskałem informacji, aby takie doniesienie zostało zgłoszone". Na pytanie, jak komentujecie irocowy log, w którym można przeczytać: "no root password on sql"? uzyskałem odpowiedź: "nie komentujemy". Poprosiłem również o komentarz w sprawie wykorzystania bazy danych użytkowników "do testów", a więc w sposób, na który użytkownicy nie wyrażali wcześniej zgody, a także w sposób odmienny, niż wynika z Polityki Prywatności serwisu ("Adresów używamy tylko i wyłącznie w celu powiadamiania użytkowników o istotnych zmianach w serwisie lub komunikatach technicznych")? Na to pytanie nie otrzymałem odpowiedzi.