” A Nemzeti Adatv\u00e9delmi \u00e9s Inform\u00e1ci\u00f3szabads\u00e1g Hat\u00f3s\u00e1g (a tov\u00e1bbiakban: Hat\u00f3s\u00e1g) a Demokratikus Koal\u00edci\u00f3 (sz\u00e9khely: 1132 Budapest, Victor Hugo u. 11-15.) (a tov\u00e1bbiakban: \u00dcgyf\u00e9l) adatkezel\u00e9s\u00e9t \u00e9rint\u0151 adatv\u00e9delmi incidenssel kapcsolatban 2018. november 21. napj\u00e1n megind\u00edtott
adatv\u00e9delmi hat\u00f3s\u00e1gi elj\u00e1r\u00e1sban
<\/p>\n\n\n\n
1) meg\u00e1llap\u00edtja, hogy
a) az \u00dcgyf\u00e9l nem tett eleget az \u00e1ltal\u00e1nos adatv\u00e9delmi rendelet 33. cikke alapj\u00e1n fenn\u00e1ll\u00f3 incidensbejelent\u00e9si k\u00f6telezetts\u00e9g\u00e9nek,
b) az \u00dcgyf\u00e9l nem tett eleget az \u00e1ltal\u00e1nos adatv\u00e9delmi rendelet 34. cikke alapj\u00e1n fenn\u00e1ll\u00f3 \u00e9rintetti t\u00e1j\u00e9koztat\u00e1si k\u00f6telezetts\u00e9g\u00e9nek sem a bek\u00f6vetkezett adatv\u00e9delmi incidenssel kapcsolatban,
<\/p>\n\n\n\n
2) utas\u00edtja az \u00dcgyfelet, hogy a jelen hat\u00e1rozat v\u00e9glegess\u00e9 v\u00e1l\u00e1s\u00e1t\u00f3l sz\u00e1m\u00edtott 15 napon bel\u00fcl
a) t\u00e1j\u00e9koztassa az \u00e9rintetteket a bek\u00f6vetkezett incidens t\u00e9ny\u00e9r\u0151l \u00e9s k\u00f6r\u00fclm\u00e9nyeir\u0151l, az \u00e9rintett szem\u00e9lyes adatok k\u00f6r\u00e9r\u0151l \u00e9s az elh\u00e1r\u00edt\u00e1s \u00e9rdek\u00e9ben megtett int\u00e9zked\u00e9sekr\u0151l,
b) r\u00f6gz\u00edtse az adatv\u00e9delmi incidens t\u00e9ny\u00e9t, annak hat\u00e1sait \u00e9s az orvosl\u00e1s\u00e1ra tett int\u00e9zked\u00e9seket az \u00e1ltal\u00e1nos adatv\u00e9delmi rendelet 33. cikk (5) bekezd\u00e9se alapj\u00e1n vezetett
nyilv\u00e1ntart\u00e1s\u00e1ban,
3) az 1) pont szerinti jogs\u00e9rt\u00e9s miatt k\u00f6telezi az \u00dcgyfelet, hogy a jelen hat\u00e1rozat v\u00e9glegess\u00e9 v\u00e1l\u00e1s\u00e1t\u00f3l sz\u00e1m\u00edtott 30 napon bel\u00fcl fizessen meg
<\/p>\n\n\n\n
11.000.000 Ft adatv\u00e9delmi b\u00edrs\u00e1got. <\/p>\n\n\n\n
…<\/p>\n\n\n\n
A t\u00e1mad\u00e1st v\u00e9grehajt\u00f3 hacker honlapj\u00e1n (a fent hivatkozott blogbejegyz\u00e9sben) el\u00e9rhet\u0151 inform\u00e1ci\u00f3k alapj\u00e1n a t\u00e1mad\u00e1s egy a honlap be\u00e1ll\u00edt\u00e1saib\u00f3l ad\u00f3d\u00f3 adatb\u00e1zis-s\u00e9r\u00fcl\u00e9kenys\u00e9g miatt val\u00f3sulhatott meg, amely abban \u00e1llt, hogy a t\u00e1mad\u00f3 k\u00e9pes volt a weboldalon \u00e1t kapcsolatba l\u00e9pni k\u00f6zvetlen\u00fcl az adatb\u00e1zissal, \u00edgy annak utas\u00edt\u00e1sokat adhatott.
Az \u00dcgyf\u00e9l szerint a s\u00e9r\u00fcl\u00e9kenys\u00e9get, amelyen kereszt\u00fcl hozz\u00e1 tudott f\u00e9rni a t\u00e1mad\u00f3 a tesztadatb\u00e1zishoz, a honlapot \u00e9rint\u0151 egyik \u00e1tir\u00e1ny\u00edt\u00e1s hib\u00e1ja okozta. Ennek a hib\u00e1nak a l\u00e9nyege, hogy az \u00dcgyf\u00e9l \u00e1ltal a honlap \u00fczemeltet\u00e9s\u00e9re is haszn\u00e1lt virtu\u00e1lis hosting3 szolg\u00e1ltat\u00e1s (r\u00f6viden:
vhost) elv\u00e1rt m\u0171k\u00f6d\u00e9se, hogy a dkp.hu (f\u0151)domaint \u00e1tir\u00e1ny\u00edtja a web.dkp.hu aldomainre. Itt a kiszolg\u00e1l\u00f3 szerver redirect (\u00e1tir\u00e1ny\u00edt\u00e1s) parancs\u00e1ban az incidens bek\u00f6vetkez\u00e9s\u00e9nek idej\u00e9n nem volt megfelel\u0151en szab\u00e1lyozva, hogy a dkp.hu domain m\u00f6g\u00e9 \u00edrt egy\u00e9b \u00fatvonalak is \u00e1tir\u00e1ny\u00edt\u00e1sra ker\u00fcljenek. A dkp.hu (f\u0151)domain m\u00f6g\u00e9 \u2013 ak\u00e1r manu\u00e1lisan \u2013 \u00edrt egy\u00e9b \u00fatvonalakra mutat\u00f3 k\u00e9r\u00e9sek alap\u00e9rtelmezetten minden esetben a vhost k\u00f6nyvt\u00e1rra mutattak. A kiszolg\u00e1l\u00f3 az ilyen egy\u00e9b k\u00e9r\u00e9sek teljes\u00edt\u00e9s\u00e9n\u00e9l azt vette alap\u00e9rtelmezettnek, ami a list\u00e1ban az els\u0151 helyen szerepel. A list\u00e1ban pedig els\u0151 helyen egy 2013-as tesztrendszer f\u00e1jljai voltak, benne a felhaszn\u00e1l\u00f3i adatokkal.
Amennyiben teh\u00e1t egy t\u00e1mad\u00f3 a dkp.hu (f\u0151)domain m\u00f6g\u00e9 egy\u00e9b \u00fatvonalra mutat\u00f3 k\u00e9r\u00e9st \u00edrt be, \u00fagy a hib\u00e1s be\u00e1ll\u00edt\u00e1snak k\u00f6sz\u00f6nhet\u0151en hozz\u00e1 tudott f\u00e9rni a nyilv\u00e1noss\u00e1gra hozott felhaszn\u00e1l\u00f3i adatb\u00e1zist is tartalmaz\u00f3 f\u00e1jlokhoz.
Az \u00dcgyf\u00e9l nem tudta azt pontosan meghat\u00e1rozni, hogy maga a s\u00e9r\u00fcl\u00e9kenys\u00e9g mi\u00f3ta \u00e1llt fent a rendszer\u00e9ben. A vhost konfigur\u00e1ci\u00f3s f\u00e1jljai 2018. augusztus 23-\u00e1n (azt k\u00f6vet\u0151en, hogy az \u00dcgyf\u00e9l saj\u00e1t maga \u00e1ltal is elismerten \u00e9rtes\u00fclt az incidensr\u0151l) 09:15-kor ker\u00fcltek oly m\u00f3don m\u00f3dos\u00edt\u00e1sra, hogy a f\u00e1jlokhoz m\u00e1r ne lehessen k\u00edv\u00fclr\u0151l hozz\u00e1f\u00e9rni. Az \u00dcgyf\u00e9l nyilatkozata szerint a hiba ezen jav\u00edt\u00e1s\u00e1t k\u00f6vet\u0151en a szakemberei seg\u00edts\u00e9g\u00e9vel \u00e1tvizsg\u00e1lta a rendszert, tov\u00e1bbi olyan jelleg\u0171 hib\u00e1t,
amely a hacker blogbejegyz\u00e9s\u00e9ben is ismertet\u00e9sre ker\u00fclt, m\u00e1r nem lehetett a jav\u00edt\u00e1st k\u00f6vet\u0151en gener\u00e1lni.
A t\u00e1mad\u00f3nak a s\u00e9r\u00fcl\u00e9kenys\u00e9g miatt siker\u00fclt kinyernie az datb\u00e1zisszerveren tal\u00e1lhat\u00f3, a tesztrendszerben t\u00e1rolt \u00f6sszes felhaszn\u00e1l\u00f3 adat\u00e1t. A t\u00e1mad\u00f3 az \u00e1ltala haszn\u00e1lt parancsot is publik\u00e1lta. A publik\u00e1lt parancs seg\u00edts\u00e9g\u00e9vel, egy informatikai szempontb\u00f3l alacsonyan k\u00e9pzett ember sz\u00e1m\u00e1ra is lehet\u0151s\u00e9g ny\u00edlt \u00edgy arra, hogy kihaszn\u00e1lhassa ezt a hib\u00e1t, \u00e9s az adatb\u00e1zist
megszerezhesse.
A nyilv\u00e1noss\u00e1gra ker\u00fclt adatb\u00e1zis tartalmazza a regisztr\u00e1lt felhaszn\u00e1l\u00f3k teljes nev\u00e9t, a regisztr\u00e1ci\u00f3 sor\u00e1n megadott felhaszn\u00e1l\u00f3nev\u00e9t, e-mail c\u00edm\u00e9t, illetve \u2013 titkos\u00edtva \u2013 a bel\u00e9p\u00e9shez sz\u00fcks\u00e9ges jelsz\u00f3t.
A jelszavak az adatb\u00e1zis szerveren MD5 elnevez\u00e9s\u0171 algoritmussal voltak elk\u00f3dolva (titkos\u00edtva), amely titkos\u00edt\u00e1s azonban nagyon gyenge v\u00e9delmet jelent, mivel percek alatt vissza lehet fejteni 1-1 jelsz\u00f3t, ak\u00e1r az interneten b\u00e1rki sz\u00e1m\u00e1ra el\u00e9rhet\u0151, ingyenes weboldalakat \u00e9s alkalmaz\u00e1sokat
haszn\u00e1lva, vagy ak\u00e1r erre meg\u00edrt c\u00e9lprogram seg\u00edts\u00e9g\u00e9vel. <\/p>\n\n\n\n
…”<\/p>\n\n\n\n