Több százezer magyar felhasználó adatait tartalmazó oldalra hívta fel a 24.hu figyelmét egy olvasónk: a Worldindex.is domain alatt bejegyzett webhely alapvetően egy bárki számára elérhető tudakozószolgálatnak tűnik, amiben telefonszám alapján kereshetünk, és a rendszer – amennyiben az adott hívásazonosító szerepel az adatbázisában – kidobja a hozzá tartozó nevet, illetve egy város szerinti lakhelyet.
Az oldal használata közben ugyanakkor kiderült: egyes személyek esetében olyan érzékenyebb adatok is elérhetők, mint a családi állapot, a munkahely, a születési dátum és az illető neme, mindehhez ráadásul a Facebook-profil linkje és egy extra dátum (4/18/2019 12:00:00) is társul.
A Facebookra vezető link, illetve a dátum arra utal, hogy az oldal 2019-ben lementett Facebook adatokra támaszkodik – valószínűleg azon adatokra, amikről 2021 tavaszán derült ki, hogy bárki számára elérhetők. Kérdéseinkkel ezért felkerestük a Facebookot és az Instagramot is tulajdonló Meta európai képviseletét, azonban cikkünk megjelenéséig nem érkezett válasz tőlük.
Mivel kontaktinformáció sincs megadva az üzemeltetőhöz, az adatok törlését sem lehet igényelni. Márpedig a fogyasztók védelme érdekében létrejött GDPR (General Data Protection Regulation) rendelet értelmében törölni kell a személyes adatokat, ha „hozzájáruláson alapuló adatkezelésnél a hozzájárulás visszavonásra kerül”, vagyis amennyiben az ügyfél kéri azok törlését. Az oldalt figyelmünkbe ajánló olvasónknak végül ugyan sikerült megszerezni az e-mail címet, amellyel a domaint bejegyezték, ugyanakkor választ sosem kapott az oda elküldött törlési kérelmére.
Zavaros háttér
Az oldal hátterével és potenciális visszaéléseivel kapcsolatban felkerestük a Nemzeti Adatvédelmi és Információszabadság Hatóságot (NAIH). Péterfalvi Attila, a hatóság elnöke lapunknak jelezte, mindeddig egyetlen panasz érkezett az oldalt illetően, ám ekkor csak a bejelentő telefonszáma, neve, neme, a város és ország neve, illetve egy „date” nevű adat volt megtalálható – közel ugyanazok az információk, mint amiket egy másik esetben mi is megkaptunk.
Ezek alapján az oldal a Magyar Telekom Nyrt. ÁSZF-jének megfelelően a „nyilvánosan elérhető tudakozószolgálatok és telefonkönyvek szolgáltatók” kategóriának felel meg. A hatóság nyilatkozatában azonban nem esik szó az oldalon megjelenő érzékeny adatokról, mint a családi állapot és a munkahely.
Megkeresésünkre a NAIH közölte, hogy az adatkezelő azonosítása nem lehetséges. Az azonban kiderült, hogy az oldal bejegyzését a 1337 Services LLC nevű cég kérte, amely a Njalla nevű, anonim domainnév-regisztrációs szolgáltatás mögött álló vállalkozás. A 1337 LLC a Saint Kitts és Nevis Államszövetség területén van bejegyezve, mely egy Karib-tengeri szigetállam.
A cég semmilyen állami szervvel, hatósággal vagy jogérvényesítéssel próbálkozó egyéb szervezettel nem hajlandó kapcsolatot fenntartani. A hatóság megkeresésére sem érkezett válasz tőlük.
Makay József kiberbiztonsági szakértő elmondása szerint a Worldindex mögött álló cég a Cloudflare szolgáltatót használhatta DNS-ként, melynek következményeként az eredeti webszerverhez néha el sem kell juttatni a kéréseket. Megjegyezte: a DNS-előzmények felkutatását célzó szolgáltatások jelentése szerint a CloudFlare-es előtét (front-end) aktiválása előtt a domainhez nem volt egyéb IP-cím rendelve, tehát az üzemeltetők megelőzték annak lehetőségét, hogy kideríthető legyen a szerver valódi helye.
Nem ez az egyetlen oldal
A kutatás során a szakértő segítségével rábukkantunk a belga adatkezelővel rendelkező Infobel.com, valamint az Infobel márkához tartozó hazai weboldalra is, a helyi.infobel.hu címen. Ezeken a felületeken az érintettek neve, telefonszáma és lakcíme található meg, melynek forrása a NAIH közlése szerint a telefonszolgáltatók adatbázisa.
Az oldal jogszerű, szabad működésének oka, hogy a szolgáltató alapértelmezetten minden előfizető fent említett adatait köteles elérhetővé tenni egy nyilvános online tudakozó keretében. Az érintett a neve, telefonszáma és lakcíme megismerését azzal korlátozhatja, ha ezen adatok nyilvános tudakozóban megjelenését letiltja a telefonszolgáltatóinál.
Az elektronikus hírközlésről szóló 2003. évi C. törvény 160. § (4) bekezdése alapján ezt költség nélkül teheti meg, ha szeretné, hogy
- a) kimaradjon a nyomtatott vagy elektronikus névjegyzékből;
- b) az előfizetői névjegyzékben feltüntessék, hogy személyes adatai nem használhatóak fel – az előfizető rendelkezése szerint – közvetlen üzletszerzés, tájékoztatás, közvélemény-kutatás vagy piackutatás céljából, akkor, ha e célok valamelyikét az előfizető az előfizetői szerződésben kifejezetten megjelölte;
- c) lakcímét csak részben tüntessék fel az előfizetői névjegyzékben.
A telefonszolgáltatóknál tehát korlátozható, hogy milyen információt tegyenek közzé rólunk, ugyanakkor ha valaki a letiltás előtt hozzáfér a mi adatainkat is tartalmazó adatbázishoz, majd ezt követően azt ismét közzéteszi például egy olyan zavaros hátterű oldalon, mint amilyen a Worldindex, akkor minimálisra csökken az esélye, hogy a megszerzett információt, akár a hatóságok segítségével, eltüntessük az internetről.
A Facebookon is védhetjük jobban az adatainkat
Mivel rengetegen használják napi szinten a közösségi médiát, az itt megosztott, publikusan elérhető adatokra is érdemes odafigyelni, ha meg akarjuk előzni hogy kétes hátterű adatbázisokban landoljanak az információink. Bár a Facebook tavaly decembertől eltüntette a szexuális beállítottságra, a politikai és vallási nézetekre, illetve a pontos lakcímre vonatkozó mezőket az oldaláról, a rosszindulatú szereplők így is sok mindent megszerezhetnek.
Néhány perc a beállítások között rengeteg kellemetlen élménytől kímélheti meg a felhasználót.
Elsőként fontos áttekinteni a nyilvános és nem nyilvános adatok beállításait. Ehhez a Facebook felületének jobb felső sarkában látható ikon lekattintása után a Beállítások és adatvédelem menüpont alatt megbújó Beállítások opcióit érdemes kiválasztani. Ezt követően a Fiók cím alatt elhelyezkedő Személyes adatok részt kell lekoppintani, ahol az Elérhetőségeken belül beállíthatjuk, ki láthatja az oldalunkon a telefonszámunkat, illetve az elsődleges és másodlagos email-címünket. Emellett az SMS-beállításokon is itt variálhatunk: milyen számra érkezzen, valamint hogy mikor és mennyi értesítés jöhet maximálisan.
Ahogy arról korábban már beszámoltunk, a Facebookon keresztül használt applikációkkal is érdemes vigyázni. Ezt szintén a jobb felső sarokban, a Beállításokra kattintva tudjuk korlátozni, a Biztonság cím alatt lévő Alkalmazások és webhelyek menüpont alatt. Itt pontosan láthatjuk, hogy mikor milyen oldalakat látogattunk meg, vagy hogy milyen appokba jelentkeztünk át a Facebookon keresztül. Ha ezek közül van olyan, amit nem használunk már, érdemes törölni, emellett azt is érdemes pontosan beállítani, mihez férhetnek hozzá pontosan ezek az oldalak.
Végül azt is érdemes áttekinteni, milyen adatokhoz biztosítunk hozzáférést a Facebook-appnak. Az alkalmazás ugyanis, ha hagyjuk neki, az SMS-eink és a hívásaink között is kutakodhat, de akár a naptárunkhoz vagy a mikrofonhoz, esetleg a kamerához is hozzáférhet.
Ehhez az androidos készülék Beállítások menüjébe az Alkalmazások opciót kell kiválasztani, azon belül pedig az Alkalmazásengedélyeket érdemes átfésülni. Itt a kulcsfontosságú adatokon, például a tárhelyen kívül szinte mindent érdemes megtagadni az applikációtól, az ugyanis nem korlátozza a működést. Ha pedig mégis használnánk valamely letiltott funkciót, a felugró ablakban érdemes az egyszeri opcióra bökni. Ha pedig profiltörlés mellett döntene, azt az alábbi módon teheti meg:
