phishing

Jurii zadał dobre pytania: "A co będzie jeżeli ktoś przy pomocy haseł zdobytych na bazie wykopu zrobi np. zakupy na Allegro, obrazi znajomych via e-mail itd? Wykop poniesie odpowiedzialność? Zapłaci za mercedesy?". Generalnie chodzi o to, że było włamanie i baza danych użytkowników serwisu wykop.pl wyciekła. Dziś, już po ujawnieniu wycieku, spółka rozesłała do użytkowników maile z prośba o zmianę haseł (mail wygląda trochę jak próba phishingu). W oficjalnym komunikacie poinformowano, że administracja wykop.pl jest w stałym kontakcie z Allegro. Dlaczego? Dlatego, że potencjalnie internauci mają takie same dane w różnych serwisach. Przy wykorzystaniu danych z bazy wykop.pl (adresy mailowe, hasła, które - co prawda - były hashowane, ale da się je wydobyć) ktoś potencjalnie będzie mógł przejmować konta w innych serwisach internetowych... Zmieńcie hasła.
Aktualizacja w górę osi czasu: Dalszy ciąg wycieku danych z Wykop.pl - Policja ustaliła sprwaców...

31 lipca 2009 roku Sąd Okręgowy we Wrocławiu wydał wyrok, zgodnie z którym spółka prowadząca serwis internetowy Nasza-klasa ma opublikować przeprosiny i zapłacić 5 tys. zł zadośćuczynienia mężczyźnie, który stał się przedmiotem następującego nadużycia: ktoś założył w serwisie profil na jego nazwisko i niejako w "jego imieniu" rozesłał do internautów obraźliwe komunikaty. Mężczyzna wytoczył powództwo o ochronę dóbr osobistych. Domagał się zadośćuczynienia w wysokości 50 tysięcy złotych (pisałem o tym w grudniu 2008 roku, w tekście We Wrocławiu pozew przeciwko Naszej-klasie w związku z phishingiem). Sąd jednak zdecydował o niższym zadośćuczynieniu. Wyrok nie jest jeszcze prawomocny. Nie znam sygnatury sprawy, więc gdyby ktoś akurat ją znał...
Aktualizacja w górę osi czasu: O tym, że Sąd Apelacyjny potwierdził odpowiedzialność NK za naruszenie dóbr osobistych.

Prawnicy piszą pisma w imieniu swoich klientów, reprezentują ich, ale mają coraz trudniej. Wiadomo, że "nie opłaca się pozywać każdego", czasem wystarczy poważnie wyglądające pismo. Nie raz się zdarzało, że jakiś partner w kancelarii domagał się usunięcia jakichś treści opublikowanych w internecie, a następnie obok tych treści mógł zobaczyć swoje własne pismo i nie mógł z tym nic więcej zrobić. W Szwecji internauci posunęli się dalej i nagle się okazało, że Henrik Pontén, prawnik antypiracki, który walczy z the Pirate Bay, otrzymał pismo z urzędu podatkowego. Został poinformowany, że jego wniosek o zmianę danych został uwzględniony. Internauci zmienili prawnikowi nazwisko na "Pirate Pontén".

W mediach komentowana jest "sprawa Kataryny", czyli zapowiedź pozwu, która podobno pochodziła od p. Krzysztofa Czumy (media wskazują na list, który miał dostać p. Igor Janke z serwisu Salon24.pl, chociaż cytują również p. Czumę, który stwierdził, że nie groził procesem i nie naciskał na Salon.24). A poszło o komentarz Kataryny, który opublikowała (albo opublikował, nie znamy przecież tożsamości autora) zarówno w serwisie Salon24.pl jak i w serwisie blox.pl. Po przeczytaniu pierwszych doniesień mediów ktoś przesłał mi komentarz: chyba poznamy tożsamość Kataryny. A je myślę, że niekoniecznie, ale sytuacja podnoszona obecnie przez media wskazuje (po raz kolejny) pewien problem, który ja sprowadzam do pytania: czy mamy prawo do anonimowej komunikacji? Tradycyjnie stawiane jest też pytanie o granice krytyki, wyrażania swoich poglądów i określenie prawdy i nieprawdy w publikacji. Do tego trzeba dodać problem sprostowania i odpowiedzi..

Nie lubię, gdy ktoś usiłuje mną manipulować, niezależnie od tego, kto to robi. Zadam proste pytanie: kto konkretnie "stoi" za stroną blackouteurope.eu? Zastanawialiście się nad tym? A kto "stoi" za stroną blackouteurope.pl? Domena blackouteurope.eu wskazuje na Jamesa Killocka związanego ze środowiskiem brytyjskiej Green Party, a więc z Partii Zielonych. Za treści w serwisie pod tą domeną wzięły odpowiedzialność organizacje skrzyknięte w "otwartą koalicję". Ich nazwy wymieniono na stronie. Na kogo wskazuje domena blackouteurope.pl? To domena "firmowa", której abonentem jest "At-Design / Dominik Łabudziński". A więc - jak rozumiem - to działalność gospodarcza jednego z animatorów Partii Piratów (VAT będzie odliczony w ramach firmy?). Oczywiście podpisywanie się pod komunikatami wysyłanymi do "rzeszy intenautów" czekających na porwanie może okazać się ryzykowne, gdy tłumy nie będą chciały dać się porwać. Stąd - ktoś może sobie tak kombinować - może lepiej pozostać w ukryciu?

Nie chciałbym, aby Czytelnicy odnieśli wrażenie, że komentarze publikowane w tym serwisie wpisują się w jakąś globalną strategię ataku na serwis Nasza-klasa. Czasy mamy ciekawe i obserwowanie liderów daje nam wszystkim pewne wskazówki dotyczące pewności prawa, skuteczności modeli biznesowych, daje nam informacje na temat tego, jak mogłyby się zachować organy państwa w sytuacji, w której jakieś "zamieszanie" dotyczyłoby naszego własnego serwisu. Pojawiają się takie spory, jak ten o usunięcie podpisanego zdjęcia w serwisie. Nie tyle chodzi tu o NK, co o wytyczenie uprawnień jednostki wobec przedsiębiorców działających na globalizującym się rynku elektronicznego obiegu informacji. Prywatność wiąże się też z bezpieczeństwem systemów i jedynie w powyższym kontekście zastanawiam się, jak to możliwe, że dwóch jedenastolatków potrafiło zagrać na nosie działowi bezpieczeństwa portalu NK, który jedyne co mógł zrobić, to pomóc policjantom z zespołu do walki z przestępczością internetową w wykryciu sprawców.

Niedawno pisałem o tym, że Socjaliści wycofują się z raportu Mediny, dziś już wiemy, że Parlament Europejski chce (albo przynajmniej to deklaruje) walczyć z cyberprzestępczością, ale z poszanowaniem "praw fundamentalnych", w szczególności z poszanowaniem prawa do prywatności, które przysługuje użytkownikom internetu. Tak czy inaczej, w czasie sesji plenarnej Parlamentu Europejskiego, która odbyła się w dniach 23-26 marca, ostatniego dnia obrad przyjęto "Zalecenie Parlamentu Europejskiego z dnia 26 marca 2009 r. dla Rady w sprawie utrwalenia bezpieczeństwa i podstawowych wolności w Internecie". To chyba dość ważna lektura.

W Irlandii zreflektowali się, że jednak nie tak wielu zatrzymywanych na tamtejszych drogach polskich kierowców nazywa się Prawo Jazdy. Dzięki temu, że Polska zmieniła stary dokument na przypominający kartę kredytową, z tak skomponowaną nazwą, że niektórzy zagraniczni funkcjonariusze myśleli, że to imię i nazwisko, w bazach danych pojawił się groźny pirat drogowy. Irlandzka policja już się zorientowała, że ktoś taki jak Prawo Jazdy nie istnieje. Po dwóch latach.

5 lutego 2009 r. zapadło potencjalnie bardzo interesujące rozstrzygnięcie (jeszcze nie mam treści, a jedynie relacje prasowe). Sprawa dotyczyła usług o podwyższonej opłacie (por. dział premium rate services: prs; innymi słowy chodzi o audioteks) i pozwu Stowarzyszenia na rzecz Ochrony Interesów Poszkodowanych Abonentów Telekomunikacyjnych SOIPAT w trybie art. 189 KPC, czyli - w tym przypadku - pozwu o ustalenie, że nie istnieje prawo do żądania od członków tego stowarzyszenia zapłaty przez TP S.A. za rozmowy przeprowadzone przez "oszustów". To jest dalszy ciąg sprawy, która "ciągnie" się od 2004 roku: 0700 i nieuczciwy najemca mieszkania...
Aktualizacja: Okazało się, że Rzepa błędnie podała przywołaną tu sygnaturę akt. Uzasadnienie wyroku znajduje się w tekście W przypadku powództwa o ustalenie prawa interes prawny należy rozumieć szeroko (Sygn. akt I CSK 332/08).

No tak. W czasach cloud computing można się spodziewać również tego, że zmieni się struktura działań podmiotów z "szarej" strefy albo wręcz reprezentujących "ciemną stronę". Utrzymanie infrastruktury potrzebnej do przeprowadzania ataków na systemy informatyczne to inwestycja, ale koszty można zmniejszyć, korzystając z oferty kogoś, kto u siebie będzie hostować gotowe do pracy środowisko.