phishing

W serwisie Facebook są dwie "strony", które opisane są słowami "Oficjalna strona Urzędu Dzielnicy Praga-Północ m.st. Warszawy. Praga Północ District Office of the Capital City of Warsaw". Jedna jest starsza, dopracowała się już "krótkiego" fejsbukowego "adresu". Druga młodsza. Pierwsza ma 2,238 "lubiących", druga zaś 472 "lubiących". Pierwsza krytykuje działania podejmowane przez Urząd. Druga zaś jest "oficjalnie oficjalna". Pierwsza, jak się wydaje, jest prowadzona przez byłych samorządowców, którzy nie zdecydowali się "oddać" profilu nowo wybranym włodarzom dzielnicy. Gdyby komunikacja państwa i samorządu koncentrowała się w Biuletynie Informacji Publicznej - nie dochodziłoby do tego typu sytuacji. Teraz bohatersko samorządowcy będą rozwiązywać problemy, które samorządowcy z taką energią sami wcześniej stworzyli. Ale to nie my! To oni! - ktoś powie. Do tego pasowałoby potem "jesteś u pani!".

Czytam sobie "2013 Cisco Annual Security Report". To drugi dziś raport, obok sygnalizowanego przed chwilą raportu Wspólnego Centrum Badawczego przy Komisji Europejskiej, który proponowałbym jako wkład do badań związanych z socjologią prawa internetu. Raport Cisco wykorzystuje dane zgromadzone przez tą firmę w roku 2012. Poświęcony jest szeroko pojętym problemom bezpieczeństwa informacji. Znaleźć tam można fragmenty poświęcone kwestiom "Big Data", używania exploitów, dane dotyczące spamu, czy ataków DDoS...

Odnotowuję ten phishing, ponieważ ma on interesujące elementy, które nie występowały we wcześniejszych tego typu zdarzeniach. Chodzi oczywiście o list elektroniczny, który został wysłany rzekomo przez posłankę Beatę Kempę, w którym to liście miała rezygnować z kandydowania. Był to tzw. fake mail, czyli list wysłany w celu podszycia się pod rzekomego nadawcę. Wiadomo już, że list wysłano z wykorzystaniem serwera w Czechach, ale bardziej interesujące chyba są ewentualne skutki rozpowszechnienia informacji przekazanej na podstawie takiego listu. Bo na podstawie takiego maila swoją depeszę rozesłała PAP.

Zgodnie z art. 190a Kodeksu karnego, dodanym do kodeksu nowelą, która wczoraj weszła w życie: "Kto przez uporczywe nękanie innej osoby lub osoby jej najbliższej wzbudza u niej uzasadnione okolicznościami poczucie zagrożenia lub istotnie narusza jej prywatność, podlega karze pozbawienia wolności do 3 lat". Mamy zatem nowe - obok penalizacji gróźb karalnych - przestępstwo związane z przekroczeniem wolności słowa. Ten sam przepis w §2 penalizuje również phishing (wykorzystanie wizerunku lub innych danych osobowych w celu wyrządzenia szkody majątkowej lub osobistej).

Trwało to pewien czas, ale wreszcie Francja przyjęła LOPPSI, czyli loi d'orientation et de programmation pour la performance de la sécurité intérieure - ustawę o planowaniu i gwarantowaniu bezpieczeństwa wewnętrznego (por. Francja pracuje nad filtrowaniem Sieci i policyjnymi trojanami (czy istnieje międzynarodówka legislatorów?)). To znaczy: nie tyle Francja przyjęła, co tamtejszy Senat. I nie LOPPSI, a LOPPSI 2. W każdym razie przyjął. 8-ego lutego przyjął. Można powiedzieć, że we Francji mają prawo pozwalające na blokowanie stron (treści) pornograficznych z udziałem dzieci. Nie udało się to w Niemczech (por. Niemcy: jak z twarzą zrezygnować z uchwalonego tam prawa dot. blokowania stron?), ale we Francji się udało. To znaczy...

Sprawa tego serwisu była przygotowywana od wielu miesięcy. Przesłuchano wielu świadków. Ja również w tej sprawie miałem zostać przesłuchany w charakterze świadka, a to za sprawą opublikowanego przeze mnie w październiku 2009 roku tekstu Roszada wykrecnumer.pl wobec zawiadomień o możliwości popełnienia przestępstw. Ostatecznie wizyta w Opolu mnie ominęła, gdyż - jak przypuszczam - udało mi się skutecznie przekonać prowadzących postępowanie, że tekst mój został napisany wyłącznie na podstawie podanych w nim i podlinkowanych tam źródeł (wydawało mi się to oczywiste, ale...). Dziś wiemy, że akt oskarżenia przeciwko mężczyźnie prowadzącym ten serwis został skierowany do sądu. Ale wydaje się, że w tej sprawie są pewne pytania, które warto postawić.

W dniu 23 lipca 2010 roku Sąd Okręgowy we Wrocławiu wydał wyrok (sygn. I C 144/10) w sprawie z powództwa o naruszenie dóbr osobistych. Powództwo wytoczył mężczyzna, którego dane, w tym wizerunek, zostały wykorzystane do stworzenia w serwisie Nasza-klasa.pl fałszywego profilu, przy czym dodatkowo w profilu pojawiły się określenia, które - w oczach powoda - stanowiły naruszenie jego dóbr osobistych. Jak relacjonuje powód - w marcu 2009 roku poprosił on spółkę o usunięcie zdjęcia oraz likwidację wskazanego konta. 1 kwietnia 2009 r. spółka poinformowała powoda o usunięciu konta. Chcąc dochodzić roszczeń wobec osoby, która profil założyła, powód zwrócił się do spółki o udostępnienie informacji pozwalających na identyfikację sprawcy. Spółka odpowiedziała, że takich danych nie może udostępnić. W sprawę był zaangażowany Generalny Inspektor Ochrony Danych Osobowych oraz policja. Tak zaczęła się sprawa, w wyniku której sąd zasądził od spółki 10 tys. zł tytułem zadośćuczynienia i nakazał spółce przeprosić powoda za naruszenie dóbr osobistych. Czekamy na uzasadnienie wyroku, gdyż może ono być niezwykle interesujące. Spółka zapowiedziała wniesienie apelacji od tego wyroku.

Jak wiadomo - jestem przeciwnikiem wyborów "przez internet" oraz za pomocą "maszyn wyborczych". Wiele swoich komentarzy na ten temat odnotowałem w dziale wybory niniejszego serwisu. Niedzielne wybory prezydenckie rozpoczynają "trójskok" wyborczy, w którym po pierwszej turze - być może - nastąpi druga, następnie płynnie przejdziemy do wyborów samorządowych, by w przyszłym roku wybierać parlamentarzystów. Ponieważ w czasie kampanii wyborczej niektórzy kandydaci deklarowali chęć wspierania elektronicznych form głosowania, to znaczy, że argumentacja związana z istniejącymi dziś niebezpieczeństwami, jakoś się jeszcze nie przebiła do świadomości sztabów konstruujących tezy wyborcze (albo - co wydaje mi się bardziej prawdopodobne - odbiorcy przekazów promujących kandydatów, a więc wyborcy, i tak nie wiedzą, o co chodzi, ale jeśli coś jest "elektroniczne", to znaczy pewnie, że "nowoczesne"). Tymczasem przeczytałem właśnie dyskusję o bezpieczeństwie informatycznym niedzielnych wyborów. Wiceprzewodniczący Okręgowej Komisji Wyborczej - tak się przedstawia rozpoczynający wątek na Hack.pl (a przecież to nie musi być prawda) - dzieli się doświadczeniami z używania wyborczego systemu informatycznego.

15. marca Naczelny Sąd Administracyjny oddalił skargę kasacyjną Generalnego Inspektora Ochrony Danych Osobowych (sygn. I OSK 756/09). Wcześniej w tej sprawie orzekał WSA w Warszawie, a chodziło m.in. o skargę na niedopełnienie - jak podnosił skarżący (Tomasz W.) - obowiązku informacyjnego wynikającego z art. 33 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. Przedsiębiorca telekomunikacyjny nie udostępnił Tomaszowi W. danych, gdyż - jak stwierdził - uprawnienia wynikające z ustawy o ochronie danych osobowych, w tym wynikające z art. 33 ustawy, nie przysługują osobom prowadzącym działalność gospodarczą. Skarżący wniósł do GIODO o wydanie decyzji nakazującej spółce udostępnienie mu jego danych z możliwością ich weryfikacji. Wskazał przy tym, że przecież wyrejestrował działalność gospodarczą, więc dane przetwarzane przez spółkę podlegają ustawie o ochronie danych osobowych. GIODO się tematowi przyjrzał i ostatecznie umorzył postępowanie. Sprawa trafiła do WSA, który wydał wyrok na korzyść skarżącego Tomasza W. (to kolejna sprawa, w której wygrywa z GIODO, wcześniej chodziło o zdjęcia w popularnym portalu). GIODO złożył kasację i ponownie przegrał.

Jest wyrok Trybunału Sprawiedliwości w połączonych sprawach od C-236/08 do C-238/08, które rozpoczęły się pytaniami prejudycjalnymi z 2008 roku, złożonymi przez francuski Cour de Cassation, chambre commerciale, financière et économique. Chodziło o zbadanie możliwości wykorzystania w wyszukiwarkach internetowych znaków towarowych w charakterze reklamy. Wyrok dotyczy ochrony uprawnień ze znaków towarowych, stosowania linków, dotyczy również zasad prowadzenia działalności reklamowej, wyszukiwania (w tym - stosowania meta danych), ale również zasad działania instytucji notice and takedown. Pytania dotyczyły francuskich sporów sądowych, w których występują Google France SARL i Google Inc. przeciwko Louis Vuitton Malletier (C‑236/08), Google France SARL przeciwko Viaticum SA i Luteciel SARL (C‑237/08) oraz Google France SARL przeciwko Centre national de recherche en relations humaines (CNRRH) SARL, Pierre’owi-Alexisowi Thonetowi, Brunonowi Raboinowi, Tiger SARL (C‑238/08).