Hiányos vádirattal, fenyegetőzéssel, az ügyészség feltűnő szakmai hozzá nem értése mellett zajlik annak az etikus hackernek a büntetőpere, aki felhasználók százezreit veszélyeztető hibát tárt fel a Magyar Telekom informatikai rendszerében. A biztonsági résen keresztül akár az összes felhasználó személyes adatait megszerezhették volna. A fiatal informatikus jelezte a hibát az illetékeseknek, akik először az alkalmazásáról tárgyaltak vele, majd inkább feljelentették.
Védencünk (akinek történetét tavaly az Index is megírta) huszonéves, programozónak tanuló fiatal. A Telekom egy nyilvános, interneten elérhető felhasználói útmutatójában figyelt fel egy DNS-kiszolgálóhoz tartozó szokatlan IP-címre. Miután megvizsgálta a címet, kiderült, hogy azon keresztül lehetséges rendszergazdai jelszóhoz jutni, majd belépni a vállalat belső informatikai rendszerébe. Ügyfelünk azonnal jelezte a hibát, sőt, vidéki otthonából saját költségén a cég budapesti központjába is elutazott, hogy személyesen adhassa át a biztonsági kockázatról készített elemzését a cég kiberbiztonsági szakembereinek.
A találkozón tapasztaltak azonban nem nyugtatták meg afelől, hogy a hibát tényleg megszüntetik, ezért később ismét belépett a rendszerbe, hogy tesztelje azt. Mint kiderült, semmit sem javítottak ki, ügyfelünket viszont ekkor már feljelentették, ami nem éppen elegáns húzás egy olyan multicégtől, amely előfizetői százezreinek adatait sodorta veszélybe azzal, hogy súlyos biztonsági rés nyomát felejtette egy egyszerű használati útmutatóban.
Minősíthetetlen színvonalú ügyészi munka
De bármilyen szomorú is, hogy egy vállalat börtönbe juttatná azt, aki helyette is megmenti az előfizetőit, az igazi probléma az ügyben az ügyészség vállalhatatlan eljárása. A jelek szerint ugyanis nem csak hogy nem értenek, de nem is akarnak érteni annak a pernek a tárgyához, amelyben éppen vádat emeltek.
Mire alapozzuk ezt? Például arra, hogy az ügyészség olyan vádirat alapján kér börtönt a védencünkre, amiből nem derül ki, hogy pontosan mit is követett el. Persze meg van nevezve egy Btk.-paragrafus, éppen csak az nincs körülírva, hogy mi az elkövetés helye, ideje, eszközei, módja, a bizonyítékok és a vád kapcsolata, és általában semmi, amit a törvényes vádhoz szükséges lenne részletesen bemutatni. Ehelyett két bekezdésben, nagy vonalakban letudják a tényállás leírását, amiben az elkövetés menetéről annyi derül ki, hogy az „pontosan meg nem határozható időben”, „az internet felhasználásával” történt. A jogi indoklás még ennél is rövidebb: mindössze két mondat.
Botrányos alkuajánlat
Különösen botrányos az az alku, amit az ügyészség az ügyfelünknek ajánlott. Eszerint, ha beismeri bűnösségét, akkor csak 2 év felfüggesztett börtönt kap, ha azonban nem él ezzel az ajánlattal, akkor 5 év letöltendőt fognak kérni. Mindezt akkor, amikor még semmilyen bizonyítékot nem látott a bíróság. Hogyan lehet ennyire biztos az ügyész az ügy jogi megítélésében, amíg még le se folytatták a bizonyítást?
A legmeglepőbb az ügyész érvelése az előzetes letartóztatás mellett, amelyet szó szerint idéznénk a tárgyalási jegyzőkönyvből: „nem vagyunk informatikusok, de a médiából tudjuk, hogy ha valaki számítástechnikai eszköz és internetkapcsolat birtokában megfelelő szaktudással rendelkezik, akkor ezeket a digitális lábnyomokat, amiket hagy, azokat el is tudja tüntetni.”. Persze egy ügyésznek nem kell járatosnak lennie az informatikában, de ha a büntetőügy technikai hátteréhez bevallottan nem ért, akkor kötelessége lenne szakértőt felkérni, amit az eljárás teljes időtartama, vagyis több mint másfél év alatt nem tett meg. Szerencsére ez a hanyagul megalapozott érvelés a bíróságot sem győzte meg, így elvetette az előzetest.
Alaptalanul súlyosbították a vádat
Az pedig már egyenesen elszomorító, hogy az ügyészség ilyen informatikai szaktudás mellett, érdemi alátámasztás nélkül még súlyosbította is a vádat. Arra hivatkoznak, hogy a bűncselekményt ún. „közérdekű üzem” megzavarásával követték el, így a védencünket már 8 évig terjedő szabadságvesztés fenyegeti. A közérdekű üzem elvileg olyan kiemelt jelentőségű infrastruktúrát jelent, aminek a megtámadása teljes – kisebb vagy nagyobb – közösségeket érinthet. Csakhogy semmi sem támasztja alá, hogy az a szerver, amelyre az ügyfelünk belépett, ilyen jelentőségű lett volna. Valójában maga a Telekom cáfolja az Indexnek adott nyilatkozatában, hogy a behatolás megzavarta volna a működésüket: „az ügyfelek személyes adatait [védencünk] tevékenysége nem érintette, a Magyar Telekom vezetékes és mobil-előfizetőinek személyes adatai teljes biztonságban voltak és vannak. Támadása nem érintette azokat a távközlési hálózatokat, amelyeken az ügyfelek kommunikáltak.”
Sajnálattal tapasztaltuk, a fentiek ismeretében azonban nem meglepő, hogy az ügyészség azt sem vizsgálta, hogy a Telekom figyelmeztetése a súlyos hibára közérdekű bejelentésnek minősül-e. Pedig a közérdekű bejelentőket kifejezetten védelmezi a jogszabály – annyira, hogy ezen az alapon meg kellene szüntetni a büntetőeljárást, az ügyészségnek pedig a mentő körülmények feltárása is törvényi kötelessége lenne.
Nem minden hackelés minősül etikusnak, és a mégoly jószándékú hacker is elkövethet olyan hibát, ami miatt joggal vonják majd felelősségre. Ezért készítettünk egy útmutatót arról, hogy mire figyelj, milyen szabályokat tarts be, hogy tényleg etikusan hackelj és minimálisra csökkentsd a felelősségrevonás kockázatát.
Az etikus hackelés nem jogellenes!
Azok a hackerek, akik hibát találnak egyes – elsősorban állami – intézmények működésében, és ezt jelzik az illetékeseknek, szerintünk nemhogy nem követnek el büntetendő cselekményt, hanem kifejezetten hasznos, amit csinálnak. Ezt hívjuk etikus hackelésnek, az „elkövetőjét” pedig etikus hackernek. Szeretnénk elérni, hogy végleg megszűnjön az a káros gyakorlat, hogy az etikus hackerek ellen büntetőeljárásokat folytatnak le, mert kifejezetten hasznosak a társadalomnak, és nem jelentenek semmiféle veszélyt. Régóta küzdünk azért, hogy az etikus hackerek is élvezhessék a közérdekű bejelentőknek járó védelmet. Ezért is védtük többek között azt a gimnazistát, aki a BKK (egyébként pont a Telekom által működtetett) internetes rendszerében talált hibákat, és akit együttműködése ellenére a Telekom szintén feljelentett.
Remport Ádám