wyciek danych

Wyciek danych to zdarzenie, w którym dane, zwłaszcza osobowe, trafiają do osób nieuprawnionych wskutek ataku, błędu konfiguracji albo zaniedbania. W języku prawa odpowiada mu naruszenie ochrony danych osobowych, które RODO w art. 4 pkt 12 definiuje jako naruszenie bezpieczeństwa prowadzące między innymi do nieuprawnionego ujawnienia danych lub nieuprawnionego dostępu do nich ^[1]. CERT Polska zauważa, że wycieki danych są dziś niemal codziennością, a to, co dokładnie znalazło się w wycieku, decyduje o wszystkich kolejnych działaniach ^[3].

Jak dochodzi do wycieku

Wyciek nie zawsze jest skutkiem włamania. Równie często dane leżą w miejscu, do którego nikt nie powinien mieć dostępu, i ktoś je po prostu znajduje. Trzy główne drogi pokazuje tabela.

Błędy konfiguracji mają własne kategorie w katalogu słabości CWE. CWE-530 opisuje plik kopii zapasowej przechowywany w katalogu lub archiwum dostępnym dla nieuprawnionych osób ^[6]. Takie pliki pozostawione w katalogach serwera WWW można pobrać, co ujawnia kod źródłowy i informacje o budowie systemu ^[6]. Szerzej to zjawisko opisują hasła błędna konfiguracja zabezpieczeń i publicznie dostępne pliki wrażliwe.

W WordPressie

Strona na WordPressie przechowuje dane osobowe w bazie: konta użytkowników, komentarze z adresami e-mail, zgłoszenia z formularzy, zamówienia sklepu. Źródłem wycieku bywa podatność we wtyczce, ale też zwykłe porządki administracyjne, na przykład zrzut bazy zostawiony w katalogu witryny.

Dokumentacja WordPressa zaleca przechowywanie regularnych kopii całej instalacji, łącznie z bazą, w zaufanym miejscu ^[7]. Plik wp-config.php, który zawiera dane dostępu do bazy, można przenieść katalog wyżej i ograniczyć jego odczyt do właściciela i serwera WWW, co zwykle oznacza uprawnienia 400 albo 440 ^[7]; zob. utwardzanie pliku wp-config.php. Użytkownik bazy do zwykłej pracy potrzebuje tylko uprawnień SELECT, INSERT, UPDATE i DELETE ^[7], co ogranicza skutki udanego ataku zgodnie z zasadą najmniejszych uprawnień.

Przykładowa reguła Apache blokująca pobieranie typowych plików kopii i zrzutów z katalogu witryny wygląda tak.

<FilesMatch "\.(sql|sql\.gz|zip|tar|tar\.gz|bak)$">
  Require all denied
</FilesMatch>

Od wersji 4.9.6, wydanej 17 maja 2018 roku, WordPress ma narzędzia do eksportu i usuwania danych osobowych użytkownika, obejmujące także dane zebrane przez wtyczki, które z tym mechanizmem współpracują ^[8]. Pomagają one realizować prawa osób, ale nie zastępują zabezpieczeń.

Zagrożenia i skutki

Skutki zależą od rodzaju danych. CERT Polska wymienia jako kolejne kroki po wycieku zastrzeżenie numeru PESEL, zablokowanie kart płatniczych i zmianę haseł ^[3]. Przestępcy wiedzą, że ludzie używają tego samego hasła w wielu miejscach ^[3], dlatego wyciek z jednego serwisu zasila credential stuffing w innych. Jeśli drugim składnikiem logowania jest SMS, atakujący może próbować wyłudzić duplikat karty SIM ^[3]. Wyciek danych osobowych ułatwia też kradzież tożsamości i trafnie dobrany phishing.

Dla organizacji skutkiem są obowiązki prawne i kary. W 2024 roku Prezes UODO nałożył na spółkę Morele.net karę ponad 3,8 mln zł w związku z wyciekiem danych 2,2 mln osób ^[5]. Urząd wskazał między innymi brak szyfrowania części danych, brak uwierzytelniania dwuskładnikowego i brak analizy ryzyka ^[5].

Obowiązki po wycieku

Administrator danych osobowych zgłasza naruszenie organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 72 godzin po jego stwierdzeniu, chyba że jest mało prawdopodobne, by skutkowało ono ryzykiem naruszenia praw lub wolności osób ^[1]. W Polsce tym organem jest Prezes UODO, a zgłoszenie składa się formularzem elektronicznym przeznaczonym wyłącznie dla administratorów ^[2]; zob. zgłoszenie naruszenia ochrony danych. Gdy naruszenie może powodować wysokie ryzyko, administrator zawiadamia także osoby, których dane dotyczą ^[1].

RYS. 1Postępowanie administratora po wycieku

Ocena ryzyka bywa sporna. W sprawie FreshMail firma zgłosiła wyciek do UODO w terminie 72 godzin, ale nie poinformowała osób, których dane wyciekły, uznając ryzyko za średnie ^[4].

Jak się bronić

Po stronie właściciela serwisu:

• nie trzymać kopii zapasowych ani zrzutów bazy w katalogu dostępnym z sieci ^[6], a kopię zapasową przechowywać w zaufanym, oddzielnym miejscu ^[7];
• szyfrować dane wrażliwe i włączyć uwierzytelnianie dwuskładnikowe dla kont z dostępem do danych, czego zabrakło w sprawie Morele.net ^[5];
• prowadzić logi, które pokazują, kto, co i kiedy zrobił ^[7], bo bez nich nie da się ustalić zakresu wycieku;
• zbierać tylko dane, które są potrzebne;
• zapisać się do serwisu moje.cert.pl, w którym CERT Polska powiadamia administratorów o zagrożeniach i wyciekach dotyczących ich domeny ^[3].

Po stronie osoby, której dane wyciekły, CERT Polska zaleca: ustalić, co wyciekło, zastrzec numer PESEL, zablokować karty, zmienić hasła wszędzie tam, gdzie użyto tego samego lub podobnego hasła, włączyć drugi składnik logowania, najlepiej przez aplikację, oraz zgłosić sprawę policji ^[3]. Zastrzeżenie PESEL działa od razu, bez rozpatrywania wniosku ^[3]. Sprawdzić, czy adres e-mail znalazł się w znanym wycieku, można bezpłatnie w serwisach haveibeenpwned.com i bezpiecznedane.gov.pl ^[3]. Warto też regularnie przeglądać historię rachunku i rejestry kredytowe, by wychwycić zobowiązania zaciągnięte na cudze dane ^[3]. Pomocą są też bezpieczne hasła trzymane w menedżerze haseł.

Historia i przykłady

• Styczeń 2019, FreshMail. Niebezpiecznik opisał znalezienie w publicznie dostępnym katalogu backups pliku SQL z 1106 rekordami danych osób biorących udział w wydarzeniach firmy ^[4]. Zgłoszenie do UODO nastąpiło w terminie, bez zawiadomienia osób ^[4].
• Luty 2024, Morele.net. UODO ponownie nałożył na sklep karę ponad 3,8 mln zł za wyciek danych 2,2 mln osób ^[5].