Spustenie obnovenej verzie portálu Obchodného registra SR (ORSR) sprevádza závažný bezpečnostný incident. Namiesto plynulejšieho prístupu k firemným podkladom priniesla nová platforma voľnú dostupnosť citlivých osobných údajov tisícok konateľov a štatutárov.
Aké informácie sa dostali na verejnosť? V dokumentoch zo zbierky listín, ktoré bolo možné stiahnuť bez hlbšieho overenia či autorizácie, sa objavili kľúčové osobné identifikátory. Okrem štandardných firemných detailov portál sprístupnil:
- Rodné čísla a presné dátumy narodenia
- Čísla dokladov totožnosti a adresy trvalého pobytu
- Vlastnoručné podpisy a oficiálne podpisové vzory konateľov
Kde zlyhala právna ochrana údajov? I keď je Obchodný register z princípu verejným zoznamom, toto pravidlo neplatí neobmedzene pre všetky vložené prílohy. Podľa zákona č. 18/2018 Z. z. o ochrane osobných údajov tvoria rodné čísla osobitnú kategóriu (tzv. všeobecne použiteľný identifikátor). Ich voľné zverejňovanie na internete bez jednoznačného súhlasu alebo zákonnej výnimky je zakázané.
Zverejnenie spisov bez predchádzajúceho zatienenia či odstránenia citlivých kolónok predstavuje zo strany štátnej správy priame porušenie predpisov GDPR aj vnútroštátnej legislatívy.
Hrozby: Od krádeže identity po falšovanie Zraniteľnosť neposkytuje problém len z pohľadu práva, ale najmä bezpečnosti. Samotné meno alebo osamotený podpis nemusia automatiquement znamenať katastrofu, no ich kombinácia na jednom mieste vytvára pre útočníkov kompletný profil:
- Krádež identity: Dostatok údajov umožňuje presvedčivo sa vydávať za konkrétnu osobu v digitálnom aj fyzickom svete.
- Zneužitie podpisov: Voľne dostupné podpisové vzory zvyšujú riziko falšovania zmlúv, úradných podaní či iných právnych listín.
- Cielené podvody: Vybavenie presnými detailmi radikálne zvyšuje úspešnosť sociálneho inžinierstva – napríklad pri manipulácii s firemnými účtami, pri falošných objednávkach či neoprávnenom konaní v mene štatutára.
Nevyhnutné kroky na nápravu Riešenie problému si vyžaduje okamžitú reakciu prevádzkovateľa štátneho systému:
- Dočasné stiahnutie alebo reštrikcia neanonymizovaných spisov zo zbierky listín.
- Hĺbkový bezpečnostný audit logov na zistenie rozsahu sťahovania dát počas trvania incidentu.
- Hlásenie porušenia ochrany údajov Úradu na ochranu osobných údajov (ÚOOU).
- Úprava systémovej architektúry tak, aby pred zverejnením akéhokoľvek spisu prebehla automatická anonymizácia nepredpísaných údajov.
Digitalizácia štátnych služieb má administratívu zjednodušovať, no nesmie sa tak diať na úkor základných bezpečnostných štandardov. Ak štátny systém pri sprístupňovaní údajov ignoruje základné princípy ochrany súkromia, podkopáva to dôveru občanov v elektronické služby aj celkovú bezpečnosť podnikateľského prostredia.
