Adatszivárgás társkereső oldalakon — mit tehetsz előtte és utána
Egy kiszivárgott e-mail-cím önmagában kellemetlen. Egy kiszivárgott e-mail-cím egy társkereső oldal adatbázisából viszont már információ arról, hogy ki vagy és mit keresel. Ezért más ez a kockázat.
A legtöbb szolgáltatásnál egy adatszivárgás praktikus problémát okoz: jelszót kell cserélni, esetleg bankkártyát letiltani. A társkereső és ismerkedő oldalaknál más a helyzet, mert maga a tény, hogy szerepelsz az adatbázisban, információ. Nem kell hozzá jelszó, nem kell hozzá üzenet — elég a puszta jelenlét.
Ezt érdemes tisztán látni, mielőtt bárhol regisztrálsz.
Miért kiemelt célpont ez a szektor
Három ok fut össze:
- Az adat önmagában érzékeny. Egy webshopnál a vásárlási lista ritkán kompromittáló. Itt a listán szereplés az.
- Zsarolásra alkalmas. Egy kiszivárgott adatbázis alapján tömegesen küldhetők fenyegető levelek, és a támadó tudja, hogy a címzettek egy része fizetni fog.
- Sok a régi, elhanyagolt szolgáltatás. A szektorban rengeteg 10-20 éves oldal fut, amit évek óta senki nem frissített komolyan.
Mi szivárog ki valójában?
Nem csak a jelszó. Egy tipikus incidensnél az alábbiak kerülhetnek ki:
- e-mail-cím és felhasználónév
- jelszó — remélhetőleg hash-elve, de nem mindig, és nem mindig jól
- regisztráció dátuma, utolsó belépés
- profiladatok: életkor, város, érdeklődés, szabad szöveges leírás
- feltöltött képek
- fizetési metaadat: mikor, mennyit, milyen néven (a kártyaszám ritkábban)
- üzenetek tartalma, ha a szolgáltató olvasható formában tárolta
Az utolsó pont a legfontosabb, és ez az, ahol a szolgáltatások között óriási a különbség. Ha az üzenetváltás végponttól végpontig titkosított, a szerveren nincs olvasható tartalom — tehát egy adatbázis-szivárgásnál sem lehet mit olvasni. Ha csak szállítási titkosítás van, a szerveren minden üzenet nyitva áll.
A kérdés nem az, hogy „titkosítva van-e”. Hanem az, hogy hol van a kulcs. Ha a szolgáltatónál, akkor a szivárgásnál is nála van.
Amit a nagy incidensekből meg lehetett tanulni
2015-ben egy nagy nemzetközi, házasságon kívüli kapcsolatokra szakosodott oldal teljes felhasználói adatbázisa nyilvánosságra került. A következmények tanulságosak, mert egyik sem technikai:
- A kiszivárgott adatok kereshető formában kerültek fel az internetre, így bárki ellenőrizhette, szerepel-e benne egy ismerőse.
- Hónapokig tartó zsarolóhullám indult a listán szereplő címekre.
- Kiderült, hogy az oldal a fizetős „teljes törlés” szolgáltatás után sem törölte ténylegesen az adatokat.
Ez a harmadik pont a legfontosabb üzenet: a törlési ígéret annyit ér, amennyi ellenőrizhető belőle. Erről a következő cikkben, a GDPR-ról szólóban részletesebben lesz szó.
Honnan tudod meg egyáltalán, hogy történt szivárgás?
A GDPR erre konkrét kötelezettséget ír elő. Az adatkezelőnek az incidens tudomására jutásától számított 72 órán belül be kell jelentenie azt a felügyeleti hatóságnak. Ha az incidens magas kockázattal jár az érintettekre nézve — és egy ismerkedő platformnál jellemzően azzal jár —, akkor téged is közvetlenül értesítenie kell, késedelem nélkül.
A gyakorlat ennél sokkal rosszabb. Sok incidens úgy derül ki, hogy az adat megjelenik egy fórumon, vagy egy kutató észreveszi. Ezért érdemes nem megvárni az értesítést: a lentebb említett ellenőrző szolgáltatásra való feliratkozás sokszor hamarabb szól, mint a szolgáltató.
Mit tehetsz előre — ez a lényegi rész
Az utólagos kármentés korlátozott. Az előzetes adatminimalizálás viszont nagyon hatásos, és nem kerül semmibe.
1. Külön e-mail-cím. Egyetlen szolgáltatáshoz használt, sehol máshol nem szereplő cím. Ha kiszivárog, nem köthető a munkahelyi vagy a magánfiókodhoz. Ez a legjobb megtérülésű öt perc az egész listán.
2. Egyedi jelszó, jelszókezelővel. A szivárgások valódi kára jellemzően nem az érintett oldalon keletkezik, hanem ott, ahol ugyanazt a jelszót újrahasználtad. Egy jelszókezelő ezt egy csapásra megoldja.
3. Kétlépcsős azonosítás, ahol elérhető.
4. Profilkép, ami sehol máshol nem szerepel. Egy fordított képkeresés a kiszivárgott képekkel is működik. Erről bővebben: hogyan tartsd titokban az online ismerkedést.
5. Adj meg minél kevesebbet. Amit nem adtál meg, az nem szivároghat ki. Telefonszám, pontos lakcím, munkahely: ha nem kötelező, hagyd üresen.
6. Nézd meg, mi jelenik meg a bankkivonaton, mielőtt fizetsz.
Mit tegyél, ha már megtörtént
Ellenőrizd, érintett vagy-e. A Have I Been Pwned ingyenes, és e-mail-cím alapján megmondja, mely ismert szivárgásokban szerepelsz. Érdemes feliratkozni az értesítésére is.
Cserélj jelszót — mindenhol, ahol ugyanazt használtad. Ez a sürgős lépés, nem az érintett oldal jelszava.
Kérj törlést. Uniós szolgáltatónál a GDPR szerinti törlési kérelem jogilag kötelező érvényű, és a szolgáltatónak egy hónapon belül válaszolnia kell.
Ha zsarolólevelet kapsz: ne fizess, és ne válaszolj. A tömeges zsarolólevelek túlnyomó része blöff — a küldő csak az e-mail-címedet és esetleg egy régi jelszavadat ismeri, más semmit. A fizetés egyetlen biztos következménye, hogy felkerülsz a „fizetni szokott” listára. Magyarországon a zsarolás bűncselekmény, a rendőrségen feljelenthető.
Ha valós tartalommal fenyegetnek, az már más helyzet: mentsd el a bizonyítékot (képernyőkép, feladó, időpont), és fordulj a rendőrséghez. Ne törölj semmit, mert az a bizonyíték.
Mire figyelj a szolgáltató kiválasztásánál
Néhány kérdés, ami sokat elárul, mielőtt regisztrálsz:
- Végponttól végpontig titkosított-e a privát üzenetváltás? Ha a leírás csak „titkosított kapcsolatot” ígér, az szállítási titkosítás — a szerveren olvasható a tartalom.
- Mit kér kötelezően a regisztráció? Ha telefonszámot vagy valódi nevet, az mind kockázat, amit vállalsz.
- Van-e valódi, egy kattintással elérhető fióktörlés? És mit ír a szabályzat arról, mi történik utána?
- Hol van a szolgáltató székhelye? Uniós szolgáltatónál a GDPR érvényesíthető, azon kívül nehezebb.
- Mikor frissítették utoljára az oldalt? Egy évek óta érintetlen szolgáltatás nagyobb kockázat.
A tökéletes biztonság nem létezik. De az a különbség, hogy egy szivárgásnál az e-mail-címed kerül ki, vagy az e-mail-címed és minden beszélgetésed — az a szolgáltató architektúráján múlik, és ez előre eldönthető.
Ha olyan platformot keresel, ahol a privát üzenetváltás végponttól végpontig titkosított, a regisztráció egy e-mail-címnél többet nem kér, és a fiók egyetlen kattintással véglegesen törölhető — a regisztráció ingyenes.
Gyakori kérdések
Honnan tudom meg, hogy kiszivárgott-e az adatom?
A leggyakrabban nem a szolgáltatótól. Érdemes időnként ellenőrizni az e-mail-címedet a nyilvános szivárgás-adatbázisokban, és figyelni a jeleket: ismeretlen bejelentkezési kísérlet, hirtelen megugró célzott spam, vagy zsaroló levél, ami egy régi jelszavadat idézi.
Mit tegyek először, ha megtörtént?
Jelszót cserélsz — először azon a szolgáltatáson, aztán mindenhol, ahol ugyanazt használtad. Bekapcsolod a kétlépcsős azonosítást. Utána nézed meg, milyen adat érintett: az e-mail-cím és a jelszó más súlyú, mint a képek vagy az üzenetek.
Kártérítés jár érte?
A GDPR ad lehetőséget kártérítési igényre, de a gyakorlatban a bizonyítás nehéz. Az érdemi lépés inkább a bejelentés a NAIH-hoz és a saját fiókjaid biztosítása — a kártérítési út hosszú, és ritkán az, ami tényleg segít.
Melyik adat a legveszélyesebb, ha kikerül?
Nem a jelszó, hanem az összekapcsolhatóság: az e-mail-cím, amit máshol is használsz. Abból építhető profil több szivárgás összefésülésével. Ezért ér annyit egy külön, csak erre a célra használt e-mail-cím.