Oceń wpis  oddane głosy: 2 / 0

To już jest naprawdę kompromitacja: ledwie co przebrzmiały pierwsze echa wycieku danych osobowych z systemu Wrocławskiej Karty Miejskiej, a tu się okazuje, że -- grubą wtopę z bezpieczeństwem danych zaliczył serwis Allegro.

Jak piszą w Niebezpieczniku wczoraj, przez dobrą godzinę, każdy mógł ściągnąć wszystkie dane (w tym hasło do serwisu) innych allegrowiczów. Zdaniem QXL Poland sp. z o.o. oczywiście nie ma problemu, ponieważ z "ludzkiej pomyłki" mógł skorzystać tylko użytkownik webAPI (i skorzystała tylko jedna osoba, która na szczęście użyła swej wiedzy wyłącznie w celu poinformowania o luce Niebezpiecznika), zaś ewentualnym amatorom pogrożono palcem, bo "przechowywanie oraz przetwarzanie danych pozyskanych nielegalnie jest przestępstwem zagrożonym karą więzienia do lat dwóch. Każdy kto wszedł w posiadanie takich danych powinien je należycie zabezpieczyć przed nieautoryzowanym dostępem oraz trwale usunąć".

Najlepsze (najgorsze) w sprawie jest jednak to, że Allegro nadal trzyma hasła w serwisie w "czystym tekście", czyli w sposób, który przy każdej takiej luce pozwala na zapoznanie się z każdym hasłem każdego użytkownika. Czym to grozi wiem nawet ja, jakby na to nie patrzeć -- lajkonik w tematach informatycznych.
Ot na razie grozi choćby tym, że po każdej takiej wtopie dostaję kolejnego listela od QXP Poland, w którym przekonuje się mnie, iż

W trosce o bezpieczeństwo Twojego konta, przeprowadzamy akcję zmiany haseł dostępu do Allegro.
Przy następnej próbie logowania, zostaniesz prawdopodobnie poproszony o zmianę hasła. Zmień je. Pozwoli to zachować wysoki poziom bezpieczeństwa w serwisie.
Zbyt proste i popularne hasło stanowi potencjalne zagrożenie dla Twojego konta. Pamiętaj, aby po zmianie hasła uaktualnić dane we wszystkich zewnetrznych aplikacjach i programach, używanych do obsługi konta w Allegro.

co oznacza, że Allegro znów "zepsuło" moje hasło i znów muszę wymyślać coś nowego -- ciesząc się, że w tzw. międzyczasie ktoś nie wywinął mi tam niezłego psikusa.

Piszę "znów", bo przecież Allegro zaliczyło podobny strzał w kolano niecałe półtora roku temu!! Już wówczas zwrócono uwagę na potencjalne skutki lekceważenia elementarnych zasad bezpieczeństwa danych tego serwisu, już wówczas praktykę taką krytykowali eksperci od bezpieczeństwa danych, już wówczas w wypowiedzi dla Dziennika Internautów mówiłem (wybaczcie autocytat), iż:

Wróżąc z fusów, można jednak powiedzieć, że serwis może mieć poważny problem z prawidłowym zabezpieczeniem integralności danych tam zgromadzonych, w szczególności z dopełnieniem obowiązku zapewnienia zastosowania środków bezpieczeństwa danych osobowych na poziomie wysokim (zgodnie z rozporządzeniem MSWiA z 2004 r.). W takim przypadku należy pamiętać, iż administrator danych ponosi odpowiedzialność zarówno ze względu na brak prawidłowego zabezpieczenia danych, jak i -- o czym często się zapomina -- może ponosić odpowiedzialność, jeśli wskutek nieuprawnionego dostępu do danych osoba trzecia wyrządzi szkodę osobie, której dane są przetwarzane.

Z drugiej strony dziwne, że Allegro odwraca uwagę od problemu, mówiąc -- skądinąd słusznie -- o problemie używania identycznych haseł do różnych serwisów. Mając świadomość, że niektórzy internauci postępują w tak nieroztropny sposób, Allegro powinno zachować szczególną ostrożność, jeśli chodzi o przechowywanie haseł w serwisie aukcyjnym.

Wniosek nasuwa się sam i jest on raczej prosty: niby cały czas panta rhei, ale pewne sprawy -- w tym podejście administratorów Allegro do bezpieczeństwa danych użytkowników -- raczej się nie zmienia.