Európai uniós tisztviselők személyes adatai a neten
Egy 2020. május 15-én tett bejelentés szerint összesen több, mint 15000 felhasználó adatai maradtak elérhetőek a weben, melyek közül 1200 EU-s tisztviselőkhöz tartozott, a maradék pedig EU intézmények munkatársaihoz, mint például az Europol, EDPS, vagy a Frontex.
A bejelentést egy indiai cyber-biztonsági cég (Shadowmap) alapítója – Yash Kadakia – tette Twitteren, amit egy nappal később Marcel Kojala, az EP informatikai irányelvekért felelős alelnöke is megerősített. Egy képernyőkép alapján az érintettek felhasználóneve, valódi neve, titkosított jelszavai, email-címei, és időzónája volt elérhető.
A jelentés szerint az adatok már régóta elérhetők voltak egy mára már nem működő, 2018-as weboldalon. Bár a weboldal elérhető volt az Európai Parlament hivatalos oldaláról (europarl.eu), az üzemeltető nem maga a Parlament volt. Kojala közleményében arra utalt, hogy egy bizonyos politikai csoport üzemeltette az oldalt. Bár konkrétan nem nevezte meg ezt a csoportot, a konszenzus szerint az Európai Néppártra (EPP) utalhatott.
Pedro López de Pablo, az EPP szóvivője megerősítette, hogy az adatok a 2018-as weboldalon maradtak fent, de hozzátette, hogy ezek az adatok már „elavultak”, és az új, 2019-ben létrehozott weboldalt nem érinti az eset. Közleménye szerint az új weboldal új jelszó létrehozását kéri a felhasználóktól, és az incidensben érintett feleket értesítik az EU adatvédelmi szabályai szerint.
Ezen intézkedések ellenére nem zárható ki, hogy bizonyos tisztviselők hasonló, vagy ugyanolyan jelszót használtak a két weboldalhoz. Bár a kiszivárgott jelszavak ’hashing’ módszerrel titkosítottak, ez csak az azonnali hozzáférést nehezíti meg – a jelszavak megfelelő elemzéssel visszafejthetők és komoly biztonsági kockázatot jelenthetnek.
Az eset utáni pár napban többen, köztük Yash Kadakia is felhívta a figyelmet az ügy súlyosságára, különösen, mivel az EP direkt módon érintett. Egyesek véleménye szerint rossz precedenst teremt a Parlament reakciója, hogy „letagadja” az adatok birtoklását a 2018/1725 rendelet ilyen mértékű megszegése esetén, hiszen, akkor mi tartana vissza minden adatkezelőt, hogy az adatait egy fedőcégben tárolja, és ezáltal minden felelősséget elhárítson?
Kojala közleménye végén kiemelte, hogy mindenképpen nyomozás szükséges annak a megállapítására, hogy történt-e törvényszegés.
