Skany paszportów ponad 3000 Polaków trafiły do sieci. Ucierpiały osoby starające się o wizę

Na sprawę zwrócił uwagę jeden z czytelników Niebezpiecznika, który poinformował redakcję o swoim problemie. Podczas wypełniania formularza został bowiem poproszony o wysłanie skanu swojego paszportu, co uczynił, zapewniony przez swojego znajomego o bezpieczeństwie takiego ruchu. Jak się okazało, po przesłaniu skanu można było wyświetlić jego podgląd, który dostępny był pod publicznym adresem URL. Wystarczyło jednak usunąć nazwę pliku z adresu, aby bez problemu dostać się do katalogu nadrzędnego. Tutaj trafiały wszystkie skany i stąd można było zdobyć dostęp do każdego z nich, po prostu klikając w nazwy kolejnych plików.

Jak podaje Niebezpiecznik, w folderze znajdowało się 3491 skanów. Co ciekawe, niektóre pliki zostały wgrane do wspomnianego katalogu jeszcze w 2015 roku. W części przypadków na wyciek narażone były więc także dane tych osób, które o wizę starały się ponad 3 lata temu. Jak dowiadujemy się dzięki zrzutowi ekranu całej listy, 20 najnowszych skanów to świeże pliki, które zostały wgrane na serwery w styczniu bieżącego roku.

Jeśli do skanów dostała się osoba ze złymi zamiarami, raczej nie mogła narzekać na niedobór danych, które mogła w ten sposób zdobyć. Na skanach bez problemu widoczne są bowiem zdjęcie, imię i nazwisko, data i miejsce urodzenia, PESEL, numer dokumentu, data jego wydania a także wzór podpisu. W bazie skanów znaleźć można było czasem nie tylko pojedyncze dokumenty, ale także serie skanów paszportów kilku członków danej rodziny, co potencjalnemu atakującemu dawało szansę zdobycia dodatkowych informacji o pokrewieństwie.

Redakcji Niebezpiecznika udało się skontaktować z biurem POLVIET, przez które prowadzona jest wspomniana strona. Informacja o niedopatrzeniu w zabezpieczeniach bazy skanów trafiła do dyrektora, Macieja Ryczko i dostęp został już zablokowany. Co ciekawe jednak, podczas rozmów wyraźnie podkreślono, iż POLVIET jest firmą wietnamską, a przez to działa zgodnie z tamtejszym prawem. Jednocześnie przyznano jednak także, iż skany paszportów nie powinny być tak łatwo dostępne w sieci.

Później pojawiły się również tłumaczenia związane z rzekomymi atakami na stronę w przeszłości (nie do końca mające jakikolwiek związek z brakiem zabezpieczeń katalogu ze skanami), a na koniec zapewnienie, iż firma skontaktuje się z użytkownikami, których dane mogły w ten sposób trafić w niepowołane ręce.

Niebezpiecznik zwraca uwagę, iż zasłanianie się wietnamskim prawem nie do końca jest uzasadnione. Jak udało się ustalić, POLVIET ma także biuro w Polsce, w Stalowej Woli. Innym argumentem może być natomiast przytaczany fragment RODO: rozporządzenie ma zastosowanie do przetwarzania danych osobowych osób, których dane dotyczą, przebywających w Unii (…) jeżeli czynności przetwarzania wiążą się z: a) oferowaniem towarów lub usług takim osobom, których dane dotyczą, w Unii. Na razie nie wiadomo, czy sprawa trafi do Urzędu Ochrony Danych Osobowych.