Share Fondacija

Live blog: Ušli smo u bazu ukradenih podataka sa Fejsbuka

Podaci više od 500 miliona korisnika Fejsbuka širom sveta, uključujući imena, mejl adrese i brojeve telefona, procureli su na internet. Među njima je skoro 100.000 brojeva telefona korisnika iz Srbije. SHARE Fondacija će pratiti razvoj događaja u vezi sa ovim incidentom i ažurirati analizu.

Update – 7. april 2021, 18:13

U međuvremenu je postalo jasno da su podaci izvučeni sa Fejsbuka pre 2019. godine, kroz propust na platformi. Baza se pojavila na mračnom delu interneta naredne godine, da bi kompanija saopštila da je propust zakrpljen u avgustu 2020. 

Nacionalna agencija za zaštitu podataka sa Filipina saopštila je da započela proveru podataka koji se navodno odnose na preko 850.000 korisnika Fejsbuka iz ove zemlje, kao i da je zatražila objašnjenje lokalnog predstavnika Fejsbuka.

Analizu incidenta pokrenuo je i irski regulator, što slučaju daje posebnu težinu budući da je sedište Fejsbukovog evropskog ogranka u Dablinu. Za sada se ispituje da li su podaci 533 miliona naloga zaista posledica ranije krađe, kada stroga evropska regulativa nije bila na snazi.

Prema srpskim zakonima, svaka ozbiljna povreda podataka o ličnosti koja nosi rizike po prava i slobode korisnika mora da bude prijavljena našem Povereniku za informacije od javnog značaja i zaštitu podataka o ličnosti. Takođe, rukovalac kod koga se desila povreda o tome mora da obavesti lica čiji su podaci kompromitovani.

Pošto se u ovom slučaju na Fejsbuk primenjuju odredbe našeg Zakona o zaštiti podataka o ličnosti, kompanija ima obe ove obaveze i u odnosu na nadležne organe i na korisnike u Srbiji.

Prijava povrede podataka Povereniku je detaljno regulisana samim zakonom, a Poverenik je doneo i poseban pravilnik kojim su jasno uređene obaveze rukovaoca. Prema tom pravilniku, rukovalac ima rok od 72 sata od kako je saznao za povredu da Povereniku na propisanom formularu dostavi tražene informacije, između ostalog: (1) opis prirode povrede podataka; (2) vrsta podataka o ličnosti; (3) broj lica na koja se podaci odnose; (4) broj podataka o ličnosti čija je bezbednost povređena; (5) datum i vreme povrede bezbednosti podataka (ukoliko je poznat, ili prema proceni) (6) opis mogućih posledica povrede; (7) opis mera koje je rukovalac preduzeo ili čije je preduzimanje predloženo; (8) ostale podatke od značaja za obaveštavanje o povredi podataka.

Pored popunjenog formulara, rukovalac je u obavezi da dostavi i evidencije radnji obrade koje se odnose na podatke koji su bili predmet povrede, a Poverenik može zatražiti i druge dokumente ili informacije. Nepostupanje u skladu sa ovom obavezom je prekršaj za koji Fejsbuk može biti kažnjen iznosom do 2 miliona dinara.

Pored obaveštavanja Poverenika, zakon kaže da Fejsbuk mora da obavesti i korisnike čiji su podaci iscureli kao posledica incidenta, o tome šta se dogodilo i to bez odlaganja. Obaveštenje mora da sadrži opis povrede, kontakt preko kog korisnik može da se raspita o povredi, opis posledica povrede i mera koje su preduzete kako bi se te štetne posledice umanjile. Sve to korisnicima treba da bude objašnjeno na jasan i razumljiv način.  

Ukoliko Fejsbuk ne ispuni ni ovu obavezu, u pitanju je još jedan prekršaj kažnjiv istom kaznom kao što je neobaveštavanje Poverenika.

Podsećamo da Fejsbuk takođe ima obavezu da imenuje svog predstavnika u Srbiji, sa kojim bi Poverenik i srpski građani mogli da komuniciraju povodom zaštite podataka o ličnosti – što je još jedna obaveza koju Fejsbuk nije ispunio.

Update – 6. april 2021, 14:16

Na servisu “Have I Been Pwned” uneti su svi procureli brojevi telefona sa Fejsbuka, možete proveriti da li je vaš broj među njima.

Podaci o preko 533 miliona korisnika šire se internetom, raste rizik od zloupotreba. Rezultate analize objavljivaćemo tokom narednih dana.

Fajl sa 162.739 brojeva telefona koji su svrstani u Srbiju, u stvari sadrži 95.688 brojeva sa međunarodnim kodom Srbije. To su pretežno korisnički brojevi sa Telenorove mreže: 44.015 brojeva sa pozivnim brojem 063, 27.185 brojeva iz sa prefiksom 062 i 11.498 brojeva sa prefiksom 069. Pored njih, tu je još i 12.990 brojeva sa mreže MTS, pozivni broj 066.

Preostalih 67.051 brojeva iz ovog fajla imaju međunarodni kod Crne Gore – 29.362 brojeva sa Telenorove mreže sa prefiksom 069 i 1.486 brojeva sa prefiksom 063. Objavljeno je i 15.969 brojeva MTel mreže sa pozivnim brojem 068 i još 288 brojeva sa prefiksom 060. Korisničkih brojeva iz T-Mobile mreže sa pozivnim brojem 067 ima ukupno 19.946.

Lični podaci više od pola milijarde korisnika Fejsbuka iz 106 država sveta slobodno su dostupni na jednom poznatom sajtu na “mračnoj” mreži (nevidljivoj za obične pretraživače interneta) za hakere nižeg profila, preneli su mediji u subotu. Kako se navodi, baza sadrži podatke koje vlasnici naloga na Fejsbuku unose na javnom ili privatnom delu svojih profila, kao što su broj telefona, lokacija, datum rođenja, biografije i mejl adrese.

Poređenjem podataka sa brojevima telefona svojih poznanika, novinari su potvrdili autentičnost baze koja obuhvata podatke preko 32 miliona unosa o korisnicima iz SAD, 11 miliona iz UK i šest miliona iz Indije. Najveći pojedinačni fajl je italijanski, sa preko 36 miliona unosa.

Bazu je pretresao Troj Hant, etički haker i konsultant za sajber bezbednost, koji je na Tviteru objavljivao rezultate parsovanja. Između ostalog, utvrdio je da baza sadrži oko 2,5 miliona jedinstvenih mejl adresa, što je tek oko 0,5% unosa.

Eksperti za sajber bezbednost potvrdili su da je reč o podacima od pre nekoliko godina, kao i da je baza primećena na istom hakerskom sajtu još u januaru kada se mogla pretraživati za određenu nadoknadu. Fejsbuk je u to vreme tvrdio da je reč o izvlačenju podataka preko softverskog propusta na platformi koji je rešen u avgustu 2019. Baza je sada u celini podignuta na sajt i dostupna je besplatno, preuzima se i deli na mrežama.

Obratite pažnju na pozive i poruke sa nepoznatih brojeva, posebno ako traže neke dodatne podatke. To što je neko svojevoljno objavio informacije o sebi na svom profilu, ne znači da je zaštićen od zloupotreba, niti da je zaslužio kršenje svojih prava. Onlajn prevare kao što je lažno predstavljanje, najčešće se oslanjaju na uverenje da informacije o nama mogu znati samo ljudi koje poznajemo. Eksperti očekuju porast incidenta društvenog inženjeringa u narednom periodu.

Koristan alat za proveru da li je neka mejl adresa bila uključena u neki od incidenata zloupotrebe podataka: https://haveibeenpwned.com/

Slike: Alon Gal (@UnderTheBreach)