Adatszivárgás: mit tegyen, ha kiszivárogtak az adatai?

Értesítést kapott egy cégtől, hogy „adatvédelmi incidens” érte a rendszerét, vagy valahol azt olvasta, hogy az Ön e-mail-címe egy kiszivárgott adatbázisban szerepel. Ilyenkor az első érzés gyakran ijedtség, a második a tanácstalanság. Pedig a teendők jól körülhatárolhatók, és a legtöbbjük néhány perc alatt elvégezhető.

Ez az útmutató sorrendben végigvezeti a lépéseken: mit jelent az adatszivárgás, mit kell azonnal megtennie, miért veszélyes az adathalászat egy szivárgás után, mit kell tennie az adatkezelőnek, és hová fordulhat, ha a cég nem válaszol. A tényeket magyar hatóságok oldalaiból vettük: NAIH, MNB, Kiberpajzs, NKI és rendőrség. Az útmutató általános tájékoztatás, nem jogi tanács.

Röviden: mit tegyen először?

1. Derítse ki, mi szivárgott ki. Csak e-mail-cím és név, vagy jelszó, bankkártyaadat, azonosító okmány is? Az érintett adat dönti el, mennyire sürgős a helyzet.
2. Ha bankadat vagy jelszó érintett, hívja a bankot. A telefonszámot a bank hivatalos honlapján keresse meg, ne az üzenetben szereplőt hívja.
3. Cserélje le a jelszavakat egy biztonságos eszközről, és ott is, ahol ugyanazt a jelszót használta.
4. Legyen gyanakvó az érkező üzenetekkel és hívásokkal. Egy szivárgás után megnő az adathalász kísérletek esélye.
5. Tegyen feljelentést, ha csalási kísérlet vagy visszaélés ért.

Az alábbiakban mindegyik pontot kifejtjük. Ha szeretné látni, mi található Önről a nyilvános weben, és szerepel-e az e-mail-címe ismert szivárgásokban, indítsa el az ingyenes elemzést.

A Remove Me ingyenes elemzése regisztráció nélkül működik. Átnézi a nyilvánosan elérhető forrásokat, az ismert adatszivárgásokat (a Have I Been Pwned szolgáltatáson keresztül) és egy adatkereskedői nyilvántartást. Az e-mailben elküldött hatjegyű kód nyitja meg a jelentést. A Remove Me jelenleg még nem küld törlési kérelmet az Ön nevében, és nem ígéri, hogy bármi eltűnik. Indítsa el az ingyenes elemzést.

Mit jelent az adatszivárgás és az adatvédelmi incidens?

A köznyelv „adatszivárgásról” beszél, a jog „adatvédelmi incidensről”. A NAIH oldala a GDPR 4. cikk 12. pontjára hivatkozva úgy fogalmaz, hogy az incidens a személyes adatok biztonságának olyan sérülése, amely megsemmisítést, elvesztést, megváltoztatást, jogosulatlan közlést vagy jogosulatlan hozzáférést eredményez.

Ez a gyakorlatban sokféle helyzetet takar. A NAIH oldalán tipikus példaként szerepel a hackertámadás, az elveszett vagy ellopott eszköz, a téves címzettnek elküldött dokumentum, és az az eset is, amikor egy levélben a címzettek látják egymás e-mail-címét, mert a „Másolatot kap” mezőt használták a „Titkos másolat” helyett. Vagyis nem minden szivárgás nagyszabású hackertámadás. Egy rossz címre küldött levél is incidens lehet.

Fontos különbség: az incidens az adatkezelő (a céget vagy szervezetet, amely az adatait kezeli) körében történik. Ön, az érintett, rendszerint csak a következményeket érzékeli: egy értesítést, furcsa üzeneteket vagy jogosulatlan belépési kísérleteket.

Hogyan tudhatja meg, hogy érintett?

Három gyakori forrás van.

• Az adatkezelő értesítése. A NAIH oldala szerint ha az adatkezelő a személyes adatok jellege alapján magasra értékeli az incidens kockázatát, tájékoztatnia kell az érintetteket. Ha ilyen levelet kap, ne dobja el, és ne kattintson benne semmire, mielőtt ellenőrizte volna a feladót (erről az adathalászatról szóló részben írunk).
• Saját ellenőrzés. Az ismert szivárgásokat nyilvános szolgáltatásokkal is ellenőrizheti. A Have I Been Pwned például ingyen megmutatja, szerepel-e az Ön e-mail-címe a betöltött adatszivárgásokban, és értesítést is kérhet a jövőbeni találatokról. A részleteket a Have I Been Pwned útmutatónkban olvashatja.
• Furcsa jelek. Ismeretlen belépési kísérlet, nem Ön által indított tranzakció, vagy váratlanul megszaporodó csaló üzenetek.

Az, hogy egy cím szerepel egy szivárgásban, nem jelenti automatikusan, hogy kár éri Önt. Azt jelenti, hogy az adott adat már nem csak az Ön és a szolgáltató kezében van, ezért érdemes elővigyázatosan eljárni.

Mit szivároghatott ki, és mit lehet vele kezdeni?

Nem minden adat egyformán érzékeny. Érdemes az alábbi csoportokra gondolni.

E-mail-cím, név, telefonszám. Önmagában ritkán okoz azonnali kárt, viszont célzott adathalász üzenetekhez használhatók. A csaló név szerint szólíthatja meg, ami hitelesebbnek hat.

Jelszó (vagy jelszókivonat). Ha ugyanazt a jelszót más szolgáltatásnál is használta, az is veszélybe kerülhet. Ha a jelszava illetéktelen kézbe kerülhetett, cserélje le, és ha máshol is ugyanazt használta, ott is. A Kiberpajzs szerint minden fontos fiókhoz külön jelszó javasolt.

Bankkártya- és internetbanki adatok. Itt a sebesség számít. A Kiberpajzs és az MNB szerint gyanú esetén azonnal jelezni kell a banknak.

Azonosító okmányok adatai. Ezekkel a személyazonossággal való visszaélés kísérelhető meg. Erről külön útmutatónk szól: személyazonosság-lopás: mit tegyen és hogyan védekezzen.

Egy konkrét ellenőrző kérdés segít: „Ha ez az adat egy csaló kezébe kerül, mit kezdhet vele?” Ha a válasz „be tud lépni valahová” vagy „pénzt tud mozgatni”, a bankkal és a jelszavakkal kell kezdeni. Ha a válasz „meg tud győzni, hogy tőlem kér valamit”, akkor az óvatosság a fő védelem.

Lépésről lépésre: jelszavak és fiókok védelme

A következő sorrend a Kiberpajzs és az MNB tanácsait követi.

1. Használjon biztonságos eszközt. Az MNB azt javasolja, hogy a banki belépési adatokat olyan eszközről vagy csatornán változtassa meg, amelyről biztosan tudja, hogy nem veszélyeztetett, például telebankon keresztül. Ha felmerül, hogy idegen szoftver került a számítógépére vagy telefonjára, először azt kell rendbe tenni.
2. Cserélje le az érintett jelszót. A Kiberpajzs szerint a jelszó legyen hosszú, ne legyen személyes (családtag neve, születési dátum), és ne ismételje máshol. Az oldal néhány szóból álló jelmondatot ajánl, kis- és nagybetűvel és írásjellel, mert az könnyen megjegyezhető és nehezen törhető fel. Pénzügyi szolgáltatásokhoz különösen erős, egyedi jelszót javasolnak.
3. Cserélje le ott is, ahol ugyanazt használta. Egy kiszivárgott jelszóval a csalók más fiókokat is kipróbálhatnak, ezért az e-mail- és a közösségi fiókokkal kezdje.
4. Kapcsolja be a kétfaktoros azonosítást. A Kiberpajzs szerint ahol lehetséges, aktiválja. Így a kiszivárgott jelszó önmagában kevés a belépéshez. Lépésekről a kétlépcsős azonosítás útmutatónkban olvashat.
5. Soha ne adja meg másnak az SMS-ben vagy push üzenetben kapott kódot. A Kiberpajzs szerint a bankok ügyintézői sem kérik el ezeket.
6. Nézze át az internetbanki és mobilbanki forgalmát. Az MNB szerint a gyanús tevékenységet azonnal jelezni kell a banknak, akkor is, ha csak bizonytalan.

A Kiberpajzs a jelszavak tárolására jelszószéfet javasol, és nem javasolja, hogy a hitelesítő adatokat a böngészőben mentse el. Az ilyen programokról külön útmutatót is írunk.

Bankkártya, internetbank és pénz: mit tegyen?

Ha a szivárgás bank- vagy kártyaadatot érintett, vagy ha már csalás is történt, a Kiberpajzs sorrendje a következő:

1. Elsőként a bankot értesítse. Az oldal szerint a bank a bejelentést köteles kivizsgálni. A bank telefonszámát annak hivatalos honlapján keresse meg, és ne hívja vissza azt a számot, amelyről az állítólagos banki ügyintéző hívta.
2. Ezután tegyen feljelentést. A Kiberpajzs szerint hívja a 112-t, vagy keresse fel a lakóhelye szerint illetékes rendőrkapitányságot. Az MNB szerint a feljelentés akkor is megtehető, ha nem érte kár.
3. Változtassa meg a banki belépési jelszavakat olyan eszközről, amelyet a csalás biztosan nem veszélyeztet.
4. Ellenőrizze a bankjánál rögzített telefonszámot és e-mail-címet. Az MNB szerint a csalók ezeket átírhatták.
5. Fontolja meg a bankkártya felfüggesztését vagy letiltását. Az oldal szerint ez megakadályozhatja a kártyaadatokkal való további visszaélést, és mobilbanki alkalmazásban is elvégezhető.
6. Nézze át a számlaforgalmat, és keresse az Ön által nem jóváhagyott műveleteket.

Ha az eszközét is gyanítja érintettnek, az MNB tanácsa a vírusellenőrzés, az ismeretlen alkalmazások keresése és a távoli elérést biztosító programok eltávolítása. Ha nem biztos a dolgában, kérjen informatikus segítséget. Ha a feljelentés miatt az eszközt át kell adni a nyomozóhatóságnak, ne töröljön és ne módosítson rajta adatot, és ne kezdjen magánnyomozásba.

Adathalászat egy szivárgás után

A kiszivárgott adat a csalók „alapanyaga”. Ha egy üzenet név szerint szólítja meg, vagy olyan szolgáltatásra hivatkozik, amelyet valóban használ, a hitelesség látszata erősebb. Ezért egy szivárgás után az ismeretlen vagy váratlan üzenetek különösen gyanúsak.

Néhány kérdés segít a szűrésben.

• Sürgetik a döntésben? Álljon meg, és ellenőrizze a feladót más csatornán.
• Linkre kattintatnának, vagy adatot, kódot kérnek? A bank ügyintézői nem kérik el az SMS-ben kapott kódokat.
• A feladó valóban az, akinek mondja magát? Ellenőrizze a hivatalos honlapon, nem az üzenetben szereplő linken.

Ha hívást kap valakitől, aki banki munkatársnak mondja magát, a Kiberpajzs szerint ne a hívó számát hívja vissza. A bank hivatalos honlapján található számot használja. Ha már rákattintott egy gyanús linkre, vagy megadott adatot, az MNB lépései (bank, tranzakciók ellenőrzése, jelszócsere biztonságos eszközről, feljelentés) itt is érvényesek. Az adathalászatról részletesebben a rubrika többi útmutatójában olvashat.

Mit kell tennie az adatkezelőnek?

Az Ön tájékozódását segíti, ha tudja, mit kell az adatkezelőnek tennie. A NAIH oldala szerint:

• Bejelentés a hatóságnak. Az adatkezelő köteles az incidenst indokolatlan késedelem nélkül, és ha lehetséges, legkésőbb 72 órával azután bejelenteni a Hatóságnak, hogy az a tudomására jutott. Ha később jelent, indokolnia kell a késedelmet.
• Kivétel. Nem kell bejelenteni, ha az incidens valószínűsíthetően nem jár kockázattal a természetes személyek jogaira és szabadságaira nézve.
• Szakaszos bejelentés. Ha még nincs minden információ, az adatkezelő a határidő betartása érdekében részleges bejelentést tehet, amelyet később kiegészíthet.
• Adatfeldolgozó. Ha az incidens az adatfeldolgozó körében történik, az indokolatlan késedelem nélkül jelenti az adatkezelőnek.
• Tartalom. A bejelentésnek tartalmaznia kell az incidens jellegét, az érintettek és az adatok kategóriáit és hozzávetőleges számát, a kapcsolattartó nevét és elérhetőségét, a valószínű következményeket, valamint a tett vagy tervezett intézkedéseket.
• Az érintettek tájékoztatása. Magas kockázat esetén az adatkezelőnek az érintetteket is tájékoztatnia kell.
• Nyilvántartás. Az adatkezelő nyilvántartást vezet az incidensekről.

Mit jelent ez Önnek? Ha egy cég hónapokig nem szól egy szivárgásról, vagy a levelében nem ír arról, mi történt és mit tehet, jogos kérdéseket tehet fel. Ez nem jelent automatikusan jogsértést, a NAIH vizsgálja, hogy az adatkezelő betartotta-e a szabályokat. A Hatóság saját leírása szerint a bejelentést hatósági ellenőrzés keretében vizsgálja, és ha a GDPR 33–34. cikkének megsértését tárja fel, hatósági eljárást indít.

Az Incidensbejelentő Rendszer az adatkezelők számára készült, a NAIH szerint csak a bejelentés megkönnyítésére szolgál, panasz benyújtására nem. Ön tehát ott nem tud panaszt tenni.

Kérdések, amelyeket érdemes feltenni az adatkezelőnek

A GDPR alapján Ön jogosult információt kérni. A NAIH oldala szerint az érintett kérheti, hogy az adatkezelő tájékoztassa, kezeli-e a személyes adatait, és másolatot kaphat róluk, valamint információt a kezelés céljairól, a címzettekről, a megőrzési időről és a jogairól. Egy rövid levélben például ezt kérdezheti:

• Mely adataimat érintette az incidens?
• Mikor jutott a cég tudomására, és mikor jelentették a hatóságnak?
• Kikhez kerülhettek az adataim?
• Milyen intézkedéseket tettek az esetleges károk enyhítésére?
• Mit javasolnak nekem?

Nem biztos, hogy a cég mindegyik kérdésre részletesen válaszol, de a kérdések segítenek rendezni a helyzetet. A hozzáférési kérelemre a NAIH szerint az adatkezelő indokolatlan késedelem nélkül, a kérelem beérkezésétől számított egy hónapon belül köteles tájékoztatni az intézkedéseiről. A határidő a kérelem összetettségétől és számától függően két hónappal meghosszabbítható, erről az adatkezelőnek az első hónapon belül tájékoztatnia kell Önt. A válaszok és intézkedések főszabály szerint ingyenesek. Ha az adatkezelő megalapozottan kételkedik a személyazonosságában, további információt kérhet.

A kérelem mintájáról és részleteiről a GDPR-útmutatónkban olvashat.

Mikor tegyen feljelentést, és hová?

A rendőrség oldala szerint feljelentést szóban vagy írásban tehet bármely rendőrkapitányságon, ügyészségen vagy bíróságon. Nincs kötelező űrlap, és nem kell a lakóhelye szerinti hivatalhoz fordulnia. Online az ügyfélkapun keresztül, vagy az e-Papír szolgáltatással is megteheti. Név nélkül a Telefontanú vonalon is bejelenthet: +36-80/555-111, ingyenes, a nap 24 órájában. Sürgős veszély esetén hívja a 112-t.

A feljelentésben írja le a történteket (mi, hol, mikor, ki), csatolja a bizonyítékokat (képernyőkép, üzenetek), és adja meg a pontos elérhetőségét. Csak azt közölje, amit maga tapasztalt, és jelezze, ha valami csak feltételezés. A rendőrség a leírása szerint három munkanapon belül megvizsgálja a feljelentést.

Az NKI informatikai biztonsági incidensek bejelentését fogadja a nap 24 órájában: az incidens.nki.gov.hu űrlapon, a CSIRT@nki.gov.hu e-mail-címen, vagy a +36 (1) 336 4833 és +36 (30) 344 0704 telefonszámon. Név nélkül a hacker@nki.gov.hu címre vagy a névtelen űrlapon írhat. Az MNB útmutatója az adathalász csalások esetén ajánlja az NKI-nak való jelzést is. Az internetes forródrótok az MNB szerint a biztonsagosinternet.hu és az internethotline.hu.

Röviden: a rendőrséghez büntetőjogi ügyben (csalás, visszaélés), az NKI-hoz informatikai biztonsági incidens jelzésével, a NAIH-hoz pedig az Ön személyes adatainak kezelésével kapcsolatos jogsérelem esetén fordulhat.

Panasz a NAIH-hoz: mikor és hogyan?

A NAIH kifejezetten azt javasolja, hogy a panasz előtt forduljon közvetlenül az adatkezelőhöz, mert sok adatkezelő önként megoldja a problémát. Ha az adatkezelő nem teljesíti a kérelmét a határidőn belül, panasszal fordulhat a hatósághoz, amely vizsgálja az ügyet.

Hogyan nyújtható be?

• Elektronikusan: az e-Papír szolgáltatáson vagy a hivatali tárhelyen keresztül.
• Postán: 1363 Budapest, Pf. 9. A postai beadványt teljes bizonyító erejű magánokiratba kell foglalni, és tartalmaznia kell a nevét, születési nevét, anyja születési nevét, a születési helyét és idejét.
• Személyesen: a nyitvatartási időben, személyazonosság igazolásával.
• E-mailben nem lehet eljárást indítani. A NAIH leírása szerint e-mailben eljárás nem indítható.

Néhány dolog, amit érdemes tudni a vizsgálati eljárásról (a NAIH leírása szerint): a vizsgálat ingyenes; nem közigazgatási hatósági eljárás, ezért bírság nem szabható ki; a panaszosnak azonosíthatónak kell lennie, a névtelen panaszt a Hatóság érdemi vizsgálat nélkül elutasíthatja; a Hatóság főszabály szerint nem fedi fel az Ön kilétét az adatkezelőnek, kivéve, ha a vizsgálat nélküle nem folytatható; a panasz nem járhat Önre nézve hátránnyal. A vizsgálatot a kérelem beérkezését követő két hónapon belül kell lezárni, bizonyos időtartamok nem számítanak bele. A NAIH nem kártérítési fórum: a bírósági jogorvoslatot a NAIH érintetti jogokról szóló oldala szerint a lakóhelye vagy tartózkodási helye szerinti törvényszéken kérheti.

A részletes lépéseket a NAIH-panasz útmutatónkban gyűjtöttük össze.

Gyakori tévhitek

„Ha az adatom már kiszivárgott, nincs mit tenni.” Nem igaz. A kiszivárgott adat nem vonható vissza, de a következmények jelentősen csökkenthetők: új jelszavakkal, kétfaktoros azonosítással, a bank értesítésével és az óvatos viselkedéssel.

„Csak akkor kell cselekedni, ha pénzt vesztettem.” Az MNB szerint gyanú esetén is érdemes bejelentést tenni, akkor is, ha nem érte kár. A korai jelzés segíthet megakadályozni a károkat.

„A cégnek mindenkit értesítenie kell.” A NAIH oldala szerint az érintettek tájékoztatása magas kockázat esetén kötelező. Nem minden incidens ilyen.

„Elég elolvasni az értesítést, aztán kattintani a benne lévő linkre, hogy jelszót cseréljek.” Ne tegye. Az értesítés lehet hamis is. Lépjen be a szolgáltatás hivatalos honlapján, amelyet maga írt be a böngészőbe.

„A NAIH megvédi a pénzemet.” A NAIH az adatkezelés szabályszerűségét vizsgálja. Kárigényét bíróság előtt érvényesítheti.

A hosszú távú védelem szokásai

Egy szivárgás ritkán állítható meg előre, a hatása viszont csökkenthető.

• Minden fiókhoz más jelszó. A Kiberpajzs egyedi jelszavakat javasol.
• Kétfaktoros azonosítás minden fontos fiókban.
• Naprakész szoftver. A Kiberpajzs szerint a frissítések többnyire biztonsági réseket javítanak, ezért frissítse az operációs rendszert és az alkalmazásokat.
• Megbízható, frissített vírusirtó és tűzfal, valamint rendszeres biztonsági mentés.
• Kevesebb adat, kevesebb kockázat. Csak azt adja meg, ami egy szolgáltatáshoz szükséges, és törölje a már nem használt fiókokat.
• Időnként nézze meg, mi látható Önről. Ehhez használhatja az ingyenes elemzésünket.

Hogyan haladjon tovább ma?

Három feladat, amely fél óra alatt elvégezhető:

1. Ha bank- vagy kártyaadat érintett, hívja a bankot a hivatalos számon.
2. Cserélje le az érintett jelszót, és ahol ugyanazt használta, ott is.
3. Kapcsolja be a kétfaktoros azonosítást az e-mail-fiókjában.

Ha ezután is bizonytalan, nézze meg a saját nyilvános adatait, vagy kérdezze az adatkezelőt. Indítsa el az ingyenes elemzést, és olvassa el a kapcsolódó útmutatóinkat is.

Források

• NAIH: Tudnivalók az adatvédelmi incidensek kezeléséről
• NAIH: Érintetti jogok
• NAIH: Vizsgálati eljárás (GDPR)
• MNB: Teendők adathalász csalás esetén
• Kiberpajzs: Hasznos tippek
• Kiberpajzs: Bejelentést szeretnék tenni
• NKI: Kapcsolat és incidensbejelentés
• Rendőrség: Mit tegyek?