Jelszófeltörő program képét tették ki a közösségi oldalon
Forrás: Origo

„Adott oldalakra (például Spotify) lehet vele konfigurálni, és akinek van kedve, az futtatgathatja, hátha talál valamit. 

Azokat az oldalakat szokták törögetni, amelyeken a felhasználónév publikus, 

például fórumok, ahol a nick (becenév) azonos lehet a felhasználónévvel. Ha a fórummotor pocsék, és a jelszó is pocsék, akkor az adott fórumon fel lehet törni a felhasználó jelszavát, majd ezután a becenévre keresve tovább lehet keresni a felhasználóra. 

Aztán mindenhol, ahol az adott felhasználónév szerepel, ott meg lehet próbálni a jelszót, mert általában mindenhol ugyanazt a jelszót használják.” 

Nem védjük rendesen az adatainkat

Az elmondottak alapján feltételezhető már, hogy nem magát a Gmail-fiókot törték fel, hanem egy másik oldalon, appon keresztül szerezhették meg a felhasználók adatait. A problémát tehát az jelenti, amikor valaki ugyanazt a fiókot és jelszót használja több helyen is, és ezáltal a bűnözők rögtön mindegyikhez hozzáférnek. 

A felhasználók nem elég óvatosak a jelszavaikat illetően: csak 38 százalékuk hoz létre erős jelszavakat minden egyes fiókjához, és 

hétből egy felhasználó ugyanazt a jelszót használja az összes fiókjához, 

derült a Kaspersky Lab, biztonsági cég februári kutatásából. 

Tizenkét százalékuk meg sem próbálja bonyolultabbá tenni a jelszavát például nagy- és kisbetűk, számok, és egyéb speciális karakterek (@&#) használatával. Az észt oldalon lévő listán is nagyon sok gyenge jelszó található: a felhasználó neve, születési dátuma, 12345 és hasonlók. 

Személyes adattal való visszaélés

A magyar büntetőtörvénykönyv (Btk.) tiltja a személyes adattal való visszaélést, azonban csupán 

haszonszerzés és jelentős érdeksérelem esetén indítanak eljárást. 

Alapesetben egy évig terjedő szabadságvesztéssel büntethető az elkövető. 

Ez a törvény akkor is alkalmazható, ha az illető nem maga törte fel az adatbázist, és szerezte meg az adatokat, de visszaélt velük, felhasználta, közzétette őket. 

Bűncselekménynek minősül az is, ha valaki az információs rendszer védelmének „megsértésével vagy kijátszásával jogosulatlanul belép, vagy a belépési jogosultsága kereteit túllépve, vagy azt megsértve bent marad”. Ezt két évig terjedő szabadságvesztéssel büntetik. 

2018-tól új EU-s jogszabály lesz

A 2015. októberi információs törvény az adatkezelő számára csupán nyilvántartás vezetését teszi kötelezővé. Azaz, ha incidens (hackertámadás) történik, akkor az adatkezelőnek – jelen esetben a Google-nak vagy a Spotifynak – vezetnie kell, kik az érintettek, mit loptak el, mikor, hogyan történt az eset, mit tett meg az elhárítása érdekében. 

Ezen cégeknek azonban a magyar jogszabályok szerint nem kötelező jelenteniük az esetet: azaz 

nem kell bejelenteniük a hatóságoknak,és értesíteniük a felhasználókat. 

Kivételt képez, ha a privát szférára jelentős hatással járó adatlopás történik. 

„Ez persze a 2018 első felében életbe lépő új uniós adatvédelmi rendelettel módosul. Akkor már nem csak az elektronikus hírközlési szolgáltatók (telekommunikációs cégek) lesznek kötelesek jelenteni az incidenseket, és értesíteni az ügyfeleket, de az olyan elektronikus kereskedelmi szolgáltatók is, mint a Google vagy a Spotify” – mondta el dr. Halász Bálint, a Bird & Bird nemzetközi ügyvédi iroda jogásza.

Jelentsük a hivatalnak

Kérdésünkre elmondta, ha valaki ilyen adatbázis birtokába jut, akkor a Nemzeti Adatvédelmi és Információszabadság Hatóságnál (NAIH) tehet bejelentést, telekommunikációs cég esetén pedig a Nemzeti Média- és Hírközlési Hatóságnál (NMHH). 

Mint hozzátette, hivatalból kivizsgálják az ügyet, de külföldi szolgáltató esetén nincs könnyű dolguk a hatóságoknak. „Bár legjobb tudomásom szerint 

minden uniós tagországban van törvény a személyes adattal való visszaélésre, 

és így együtt lehet működni.” 

„Ez egyértelműen személyes adattal való visszaélés, hatósági eljárás keretében fogjuk kivizsgálni” – mondta az Origo kérdésére dr. Péterfalvi Attila, a NAIH elnöke. Mint elmondta, ha saját hatáskörben nem tudják felderíteni az ügyet, akkor 

bűncselekmény gyanúja miatt ismeretlen tettes ellen a hatóság fog feljelentést tenni.  

Futók, változtassatok jelszót!

Végül kiderült, hogy a Budapest Sportiroda (BSI) oldalát törték fel hackerek. E-mailben meg is erősítették a támadás tényét, és a kicsit több, mint 15 ezer fős létszám is stimmel az adatok alapján. Mint fogalmaztak, 

a BSI nevezési rendszerébe törtek be illetéktelenek, „jelen tudomásunk szerint ázsiai IP-címekről”, 

ahol a profilhoz tartozó adatokhoz is hozzáfértek. 

A futóversenyeket szervező iroda jelenleg még vizsgálja a támadás mértékét és az esetlegesen ellopott adatok körét. Mint közölték, 

bankkártya- és fizetési információkat nem tárolnak. 

Nevezéskor a felhasználót az OTP Bank biztonságos, háromlépcsős fizetési felületére irányítják át, így ilyen adatok nem kerültek a birtokukba, a támadás ezeket nem érinti.