Mamy pierwszy wyciek danych z kancelarii adwokackiej

Jak poda­ła wczo­raj Zaufa­na Trze­cia Stro­na na naj­więk­szym obec­nie pol­skim forum dark­ne­to­wym zosta­ła opu­bli­ko­wa­ne pacz­ka z dany­mi pocho­dzą­cy­mi z ser­we­ra jed­nej z naj­więk­szych pol­skich kan­ce­la­rii adwo­kac­kich (ory­gi­nal­ny wpis został nie­ste­ty usu­nię­ty przez Z3S​.pl „ze wzglę­du na cha­rak­ter spra­wy”). Pacz­ka ta jest pokło­siem ostat­niej kam­pa­nii ata­ków wymie­rzo­nej w pol­skie kan­ce­la­rie praw­ne, o któ­rej pisa­łem w zeszłym tygo­dniu. Sytu­acja nie­wąt­pli­wie jest ewe­ne­men­tem a i jej prze­bieg będzie sta­no­wił pre­ce­dens dla pol­skich kan­ce­la­rii. W pierw­szych komen­ta­rzach inter­nau­tów na temat wycie­ku poja­wia się jed­no zasad­ni­cze pyta­nie – czy kan­ce­la­ria i praw­ni­cy odpo­wia­da­ją za takie wycie­ki, czy też nie? Chciał­bym dziś udzie­lić odpo­wie­dzi na to pyta­nie, podzie­lić się z Tobą moimi kil­ko­ma prze­my­śle­nia­mi w tym zakre­sie i powie­dzieć co myślę o całej zaist­nia­łej sytuacji.

Na czym dokładnie polegał atak?

To co opi­sa­ła Zaufa­na Trze­cia Stro­na jako sku­tek ata­ku odpo­wia­da moż­li­wo­ścią opro­gra­mo­wa­nia z opi­sy­wa­nej prze­ze mnie ostat­nio kam­pa­nii wymie­rzo­nej w kan­ce­la­rie praw­ne – wie­my to na pod­sta­wie ana­li­zy ata­ku wyko­na­nej przez CERT Pol­ska. Skra­ca­jąc to co pisze CERT – dzia­ła­nie opro­gra­mo­wa­nia na kom­pu­te­rze prawnika-ofiary zosta­ło ziden­ty­fi­ko­wa­ne jako prze­kie­ro­wy­wa­nie roz­wią­zań adre­sów dome­no­wych albo wykra­da­nie danych z kom­pu­te­ra ofia­ry. Nie­co mniej tech­nicz­nie: pierw­sza z moż­li­wo­ści opro­gra­mo­wa­nia pozwa­la pod­mie­niać odwie­dza­ne stro­ny www na spre­pa­ro­wa­ne (np. w celu doko­na­nia kra­dzie­ży haseł i logi­nów – kla­sycz­ny phi­shing). Kon­se­kwen­cje dru­gie­go dzia­ła­nia, czy­li moż­li­wo­ści pobra­nia danych z kom­pu­te­ra chy­ba nie wyma­ga­ją komen­ta­rza. Co cie­ka­we, w toku ata­ku sama wtycz­ka Micro­so­ftu rze­czy­wi­ście się insta­lo­wa­ła, a zło­śli­we opro­gra­mo­wa­nie (kon­kret­nie Smo­ke Loader) po pro­stu insta­lo­wa­ło się „na doczep­kę”. Nie trud­no więc się domy­ślić, iż dla użyt­kow­ni­ków o niskim pozio­mie tech­nicz­nej świa­do­mo­ści domi­nu­ją­cych wśród praw­ni­ków, taki trik bar­dzo sku­tecz­nie usy­piał czuj­ność. Jest to nic wię­cej, niż kla­sycz­ny atak socjo­tech­nicz­ny, z wyko­rzy­sta­niem zna­ne­go już i z pew­no­ścią zaku­pio­ne­go na czar­nym ryn­ku zło­śli­we­go oprogramowania.

Według rela­cji ser­wi­su Zaufa­na Trze­cia Stro­na, w opi­sa­nym przez nich przy­pad­ku doszło do:

• prze­ję­cie kon­tro­li nad całą infra­struk­tu­rą IT (panel zarządzania),
• wła­my­wacz uzy­skał dostęp do zawar­to­ści skrzy­nek e‑mail,
• wła­my­wacz uzy­skał dostęp akt spraw pro­wa­dzo­nych dla Klientów,
• wła­my­wacz uzy­skał dostęp do pry­wat­nych danych prawników.

Nie­ste­ty oba­wiam się, iż opi­sa­ne przez Zaufa­ną Trze­cią Stro­nę wyda­rze­nie może być pierw­szym z fali wie­lu, któ­re nastą­pią po opi­sy­wa­nej nie­daw­no kam­pa­nii cyber­prze­stęp­ców wymie­rzo­nej w kan­ce­la­rie praw­ne. W dal­szej czę­ści dzi­siej­sze­go wpi­su chciał­bym zasta­no­wić się nad moż­li­wy­mi kon­se­kwen­cja­mi oraz poten­cjal­ny­mi płasz­czy­zna­mi odpo­wie­dzial­no­ści w tego typu wypad­kach, gdy nastę­pu­je wyciek danych osobowych.

Kto może ponieść odpowiedzialność za wyciek z punktu widzenia prawa?

W przy­pad­ku tego typu wycie­ków danych poja­wia­ją się co naj­mniej 4 płasz­czy­zny odpo­wie­dzial­no­sci praw­nej, któ­re nale­ży rozważyć:

1. cywil­ną (wobec klien­tów, któ­rych dane wyciekły)
2. admi­ni­stra­cyj­ną (wobec np. GIODO)
3. kar­ną
4. dys­cy­pli­nar­ną

Jed­nym z czę­stych argu­men­tów, któ­re prze­ja­wia­ją się w komen­ta­rzach, jest pró­ba moż­li­wo­ści „zrzu­ce­nia” odpo­wie­dzial­no­ści na fir­mę świad­czą­cą usłu­gi IT. Takie posta­wie­nie spra­wy nie jest do koń­ca popraw­ne. Owszem – fir­ma świad­czą­ca obsłu­gę IT będzie pono­si­ła odpo­wie­dzial­ność, lecz głów­nie wzglę­dem poszko­do­wa­nej wycie­kiem kan­ce­la­rii – wszyst­ko zale­ży od tego jak wyglą­da­ła umo­wa o świad­cze­nie usług i kil­ka innych zmien­nych. Nie­mniej na zewnątrz – w sto­sun­ku do osób, któ­rych dane wycie­kły a pro­wa­dzo­ne spra­wy zosta­ły w ten spo­sób nara­żo­ne na szwank – odpo­wie­dzial­ność cywil­ną pono­sić będzie w głów­nej mie­rze kan­ce­la­ria. Mak­sy­mal­nie uprasz­cza­jąc: to, że kan­ce­la­ria zawie­ra umo­wę na ser­wis IT czy inne usłu­gi infor­ma­tycz­ne nie zwal­nia jej co do zasa­dy z odpo­wie­dzial­no­ści wzglę­dem klien­tów za powie­rzo­ne doku­men­ty i obo­wią­zek zapew­nie­nia ich pouf­no­ści. Odno­si się to szcze­gól­nie do regu­la­cji zwią­za­nych z ochro­ną danych oso­bo­wych. Klien­tów rzad­ko kie­dy inte­re­su­je czy pod­miot świad­czą­cy usłu­gi praw­ne korzy­sta z usług IT takiej czy innej fir­my. Klien­tów inte­re­su­je, by spra­wa była wyko­na­na nale­ży­cie. Zapew­nie­nie cyber­bez­pie­czeń­stwa spo­czy­wa na wykonawcy.

Bezpieczeństwo informacji w polskich kancelariach

W przy­pad­ku wycie­ków danych z kan­ce­la­rii praw­nej docho­dzi do naru­sze­nia klu­czo­we­go ele­men­tu dla pra­cy praw­ni­ka jakim jest infor­ma­cja oraz klu­czo­we­go jej atry­bu­tu – zapew­nie­nia pouf­no­ści tej infor­ma­cji. To wła­śnie z poważ­ne­go trak­to­wa­nia infor­ma­cji wyro­sły takie poję­cia jak np. tajem­ni­ca adwo­kac­ka, któ­ra ma dawać gwa­ran­cję, że wszyst­ko co zosta­ło powie­rzo­ne praw­ni­ko­wi zosta­nie abso­lut­nie pouf­ne, nie­do­stęp­ne nawet dla orga­nów ści­ga­nia.  Przed­sta­wi­cie­li wol­nych zawo­dów (adwo­ka­tów, rad­ców) obo­wią­zu­je tzw. zasa­dy ety­ki. To regu­ły narzu­ca­ne przez samo­rząd zawo­do­wy jed­no­cze­śnie prze­strze­ga­ją­cy ich reali­zo­wa­nie w rzeczywistości.

W przy­pad­ku praw­ni­ków pra­cu­ją­cych w kan­ce­la­rii pada­ją­cej ofia­rą cyber­prze­stęp­ców trud­no mi wyobra­zić sobie sytu­ację, w któ­rej samo­rzą­dy zawo­do­we nie pocią­gną praw­ni­ków do odpo­wie­dzial­no­ści dys­cy­pli­nar­nej, a przy­naj­mniej nie spró­bu­ją tego zro­bić lub roz­wa­żyć takiej opcji. Jakie mają moż­li­wo­ści? Samo­rząd rad­cow­ski dość jed­no­znacz­nie pre­cy­zu­je obo­wią­zek zabez­pie­cze­nia danych doty­czą­cych klien­tów w kodek­sie ety­ki rad­cy praw­ne­go. Znaj­dzie­my tam m.in. taki zapis:

art. 3 ust. 1
Naru­sze­nie posta­no­wień Kodek­su sta­no­wi pod­sta­wę odpo­wie­dzial­no­ści dyscyplinarnej.

art. 23
Rad­ca praw­ny obo­wią­za­ny jest zabez­pie­czyć przed nie­po­wo­ła­nym ujaw­nie­niem wszel­kie infor­ma­cje obję­te tajem­ni­cą zawo­do­wą, nie­za­leż­nie od ich for­my i spo­so­bu utrwa­le­nia. Doku­men­ty i nośni­ki zawie­ra­ją­ce infor­ma­cje pouf­ne nale­ży prze­cho­wy­wać w spo­sób chro­nią­cy je przed znisz­cze­niem, znie­kształ­ce­niem lub zagi­nię­ciem. Doku­men­ty i nośni­ki prze­cho­wy­wa­ne w for­mie elek­tro­nicz­nej powin­ny być obję­te odpo­wied­nią kon­tro­lą dostę­pu oraz zabez­pie­cze­niem sys­te­mu przed zakłó­ce­niem dzia­ła­nia, uzy­ska­niem nie­upraw­nio­ne­go dostę­pu lub utra­tą danych. Rad­ca praw­ny powi­nien kon­tro­lo­wać dostęp osób współ­pra­cu­ją­cych do takich doku­men­tów i nośników.

Zwróć­my więc uwa­gę, iż mamy tutaj do czy­nie­nia z obo­wiąz­kiem zabez­pie­cze­nia. Regu­la­cja nie mówi zatem o tym, czy zabez­pie­cze­nie takie musi być sku­tecz­ne czy też nie. Takie posta­wie­nie spra­wy wyda­je się być zro­zu­mia­łe, gdyż cza­sa­mi nie da się uchro­nić przed nie­moż­li­wym (np. poża­rem czy powo­dzią). Szcze­gól­nie cie­ka­wie w świe­tle takie­go wycie­ku i modus ope­ran­di spraw­ców brzmi ostat­nie zda­nie art. 23 – to rad­ca praw­ny powi­nien kon­tro­lo­wać odpo­wie­dzial­ność za to jak np. asy­sten­ci korzy­sta­ją z danych prze­twa­rza­nych w jego kancelarii.

W przy­pad­ku adwo­ka­tów mamy podob­ną regu­la­cję – kodeks ety­ki adwo­kac­kiej. Może­my w nim przeczytać:

§ 4
Adwo­kat odpo­wia­da dys­cy­pli­nar­nie za uchy­bie­nie etyce (…).

§ 19
5. Adwo­kat posłu­gu­ją­cy się w pra­cy zawo­do­wej kom­pu­te­rem lub inny­mi środ­ka­mi elek­tro­nicz­ne­go utrwa­la­nia danych obo­wią­za­ny jest sto­so­wać opro­gra­mo­wa­nie i inne środ­ki zabez­pie­cza­ją­ce dane przed ich nie­po­wo­ła­nym ujawnieniem.
6. Prze­ka­zy­wa­nie infor­ma­cji obję­tych tajem­ni­cą zawo­do­wą za pomo­cą elek­tro­nicz­nych i podob­nych środ­ków prze­ka­zu wyma­ga zacho­wa­nia szcze­gól­nej ostroż­no­ści i uprze­dze­nia klien­ta o ryzy­ku zwią­za­nym z zacho­wa­niem pouf­no­ści przy wyko­rzy­sta­niu tych środków.

Jak taka odpo­wie­dzial­ność wyglą­da w prak­ty­ce? Pol­skie samo­rzą­dy (przy­naj­mniej adwo­kac­ki) w przy­pad­ku naru­sze­nia tajem­ni­cy są sta­now­cze. Sły­sza­łem już nie raz, że jakiś kon­kret­ny praw­nik został uka­ra­ny przez kole­gów z sądu dys­cy­pli­nar­ne­go za naru­sze­nie tajem­ni­cy. To oczy­wi­ście wsty­dli­wa i nie­przy­jem­na sytu­acja, ale poka­zu­je powa­gę pro­ble­mu. Oso­ba łamią­ca takie prze­pi­sy kor­po­ra­cyj­ne może się liczyć nie tyl­ko z uka­ra­niem dys­cy­pli­nar­nym w posta­ci naga­ny, ale wręcz z moż­li­wo­ścią utra­ty pra­wa do wyko­ny­wa­nia zawo­du czy spra­wo­wa­nia patro­na­tu nad apli­kan­ta­mi. Z rela­cji zna­jo­mych mi adwo­ka­tów wiem, że odpo­wie­dzial­ność dys­cy­pli­nar­ną moż­na ponieść za… brak tablicz­ki z imie­niem, nazwi­skiem i dopi­skiem „adwo­kat” na budyn­ku, w któ­rym mie­ści się kancelaria.

Brutalna rzeczywistość polskich kancelarii

Nie­mniej jeśli cho­dzi o zapew­nia­nie cyber­bez­pie­czeń­stwa klien­tom, to nie jest ono już tak rygo­ry­stycz­nie egze­kwo­wa­ne przez samo­rzą­dy jako cho­ciaż­by opi­sa­ne wcze­śniej szyl­dy. Mówiąc nie­co bru­tal­niej – panu­je tutaj abso­lut­na wol­na ame­ry­kan­ka, co skut­ku­je tym, że cyber­bez­pie­czeń­stwo w pol­skich kan­ce­la­riach praw­nych ist­nie­je tyl­ko teo­re­tycz­nie. Według badań Cen­trum Ochro­ny Danych Oso­bo­wych i Zarzą­dza­nia Infor­ma­cją Uni­wer­sy­te­tu Łódz­kie­go tyl­ko 30% rad­ców i adwo­ka­tów wdro­ży­ło jakie­kol­wiek roz­wią­za­nia. Samo­rząd nicze­go nie egze­kwu­je, star­si wie­kiem mece­na­si nie nadą­ża­ją za tech­ni­ką (co moż­na jesz­cze jakoś zro­zu­mieć i uspra­wie­dli­wić). A mło­de wil­ki świa­ta kan­ce­la­rii myślą, że mają świat u stóp i nikt nie naru­szy ich pocz­ty na Onecie.

War­to mieć na uwa­dze, że dzi­siaj obieg infor­ma­cji wyglą­da zupeł­nie ina­czej niż jesz­cze 20 lat temu. Prak­tycz­nie każ­dy typ infor­ma­cji moż­na w spo­sób pouf­ny prze­ka­zać bez bez­po­śred­nie­go kon­tak­tu w spo­sób bły­ska­wicz­ny. Nie­ste­ty wyko­rzy­sta­nie zdo­by­czy tech­ni­ki w posta­ci róż­no­ra­kich pro­to­ko­łów komu­ni­ka­cyj­nych nie­sie za sobą nowe zagro­że­nia. Tak jak kie­dyś zagro­że­niem była moż­li­wość utra­ty kon­tro­li nad doku­men­ta­cją prze­cho­wy­wa­ną w kan­ce­la­rii, tak też dzi­siaj zagro­że­niem może być utra­ta kon­tro­li nad infor­ma­cją prze­cho­wy­wa­ną elek­tro­nicz­nie (choć­by na skrzyn­ce e‑mailowej). Dla­te­go od dawien daw­na fakt, że adwo­kat może wywie­sić szyld na zewnątrz budyn­ku w któ­rym ma sie­dzi­bę kan­ce­la­rii był dla każ­de­go naocz­nym zna­kiem. Zna­kiem, że praw­nik posia­da jakiś rodzaj pra­wa do korzy­sta­nia z sie­dzi­by kan­ce­la­rii i dzię­ki temu zapew­nia, że nikt nie naru­szy doku­men­tów zło­żo­nych przez klien­ta w tym miej­scu. Dziś takim zna­kiem dla nas – oby­wa­te­li spo­łe­czeń­stwa infor­ma­cyj­ne­go – powin­no być choć­by posia­da­nie pocz­ty elek­tro­nicz­nej we wła­snej dome­nie – znak, że nie wisi to gdzieś na wp​.pl czy One­cie. Znak, że ser­wer na któ­rym znaj­du­ją się te infor­ma­cje jest ozna­ką posia­da­nia jakie­goś pra­wa, któ­re gwa­ran­tu­je, że nikt nie­po­wo­ła­ny nie uzy­ska dostę­pu do informacji.

Koń­cząc, zachę­cam do odwie­dze­nia stro­ny inter­ne­to­wej jakiej­kol­wiek Okrę­go­wej Rady Adwo­kac­kiej (przy­kła­do­wo). Klik­nij „wię­cej” przy nazwi­sku jakie­go­kol­wiek adwo­ka­ta i sam sprawdź jak trak­tu­ją oni dane swo­ich klien­tów. Ilość adre­sów e‑mail w dome­nie Gma­il, wp czy Onet prze­ra­ża. I na pew­no nie daje wyko­nu­ją­ce­mu zawód praw­ni­ka moż­li­wo­ści kon­tro­li nad taką pocz­tą i zapew­nie­nia bez­pie­czeń­stwa klien­tom, któ­re tak pięk­nie dekla­ru­ją oni w swo­ich kodek­sach etycznych.