Identifikacija storilca pri vdoru v gmail + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 24.03.2014 Številka: 0712-1/2014/340 Kategorije:Elektronska pošta, Svetovni splet --> Kategorije: Elektronska pošta, Svetovni splet Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je po elektronski pošti prejel vaš dopis, v katerem navajate sum, da nekdo tretji nepooblaščeno dostopa do vašega e-poštnega nabiralnika (pri ponudniku Gmail) oz. do vašega prenosnika. Konkretno ugotavljate, da so določena e-poštna sporočila v vašem nabiralniku označena kot že prebrana, čeprav jih sami še niste pregledali; dalje, v vtičniku za klepet ne morete nastaviti statusa »neviden«, ker vam vtičnik javi, da naj bi bili v klepet hkrati prijavljeni še od nekje drugje, preko klienta, ki ne podpira funkcije »nevidnosti«. Ko ste nato znotraj Gmaila preverili zgodovino aktivnosti na računu, ste našli nepojasnjeni dostop z mobilne naprave (z določenim IP naslovom), pri čemer pravite, da ne gre za vas, saj sami mobitela, tablice oz. druge mobilne naprave sploh nimate. Še dalje, pred nekaj tedni ste med čiščenjem diska na svojem računalniku med nameščenimi programi našli tudi aplikacijo »Splashtop« za upravljanje računalnika na daljavo preko mobilne naprave. Menite, da je program namestil nekdo drug, ter ga izkoristil za pridobitev vašega Gmail gesla oz. splošni nadzor računalnika. Upoštevaje vse navedeno, zlasti pa to, da razpolagate z IP naslovom domnevnega napadalca, sprašujete, na koga (policijo idr) se lahko obrnete za pomoč, ter kako bi izvedeli, kdo je vdrl v vašo e-pošto / računalnik. Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
- točke
- odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Pooblaščenec priporoča, da glede incidenta podate kazensko ovadbo policiji oz. tožilstvu. Policija lahko potem, pod pogoji iz 149.b člena Zakona o kazenskem postopku, pridobi podatke o imetniku spornega IP naslova v času nepooblaščene uporabe vašega e-poštnega naslova. Alternativno lahko v konkretnem primeru, v katerem že (zakonito) razpolagate z IP naslovom domnevnega napadalca, od okrajnega sodišča na podlagi
- člena Zakona o pravdnem postopku zahtevate izdajo začasne odredbe zoper ponudnika interneta, s katero se temu operaterju prav tako naloži razkritje podatkov o imetniku spornega IP naslova v času nepooblaščene uporabe vašega e-poštnega naslova. Obrazložitev: Pooblaščenec najprej preveri vaše navedbe. Brezplačna e-poštna storitev Gmail ameriškega podjetja Google, ki ga za slovenski trg ponuja Google Irska, Gordon House, Barrow St, Dublin 4, Irska, ponuja spletni vmesnik za pošiljanje in prejem e-pošte, hitri iskalnik po e-pošti, dostop do e-pošte z zunanjih e-poštnih odjemalcev (mobilnih, namiznih) preko standardnih protokolov POP/IMAP, hipni klepet po protokolu XMPP/Jabber, ter še številne druge funkcionalnosti. Storitev je zavoljo svoje relativne popularnosti pogosta tarča zlorab, v smislu pridobitve dostopa do e-poštnega nabiralnika druge osebe. Google je zavoljo preprečevanja tovrstnih zlorab v storitev vgradil določene varnostne mehanizme , npr. uporabo šifrirane povezave (HTTPS), dvofaktorsko avtentikacijo (prijavo s pomočjo gesla IN sms-a, telefonskega klica oz. mobilne aplikacije, kar otežuje nepooblaščeno prijavo tudi ob poznavanju gesla), možnost vpogleda v zgodovino uporabe računa (account activity) oz. mesečnega poročanja o rabi računa (activity report), omejevanje preusmeritev e-pošte na drug naslov, omejevanje dostopa z zunanjih e-poštnih odjemalcev preko POP/IMAP protokola, dobro politike gesel oz. ponastavitve gesel, in tako dalje. Uporaba tovrstnih mehanizmov lahko v veliki meri zmanjša možnosti, da neka tretja oseba pridobi dostop do vašega e-poštnega nabiralnika, zato jih Pooblaščenec toplo priporoča. V svojem dopisu navajate, da naj bi do vdora v vaš e-poštni nabiralnik že prišlo. V utemeljitev navajate, da zaznavate, da so določena e-poštna sporočila, ki jih sami še niste niti pregledali, že označena kot prebrana. Dalje navajate, da se v tam prisotnem vtičniku za hipni klepet ne morete označiti za »nevidnega«, ker naj bi bil v vmesnik za hipni klepet istočasno prijavljen še nekdo drug, tokrat iz klienta, ki ne podpira funkcije nevidnosti (tipično kak mobilni klient ali namizna aplikacija Google Talk). Pri tem ste prepričani, da ne gre za kak drug vaš računalnik, ali pozabljeno prijavo na kakem tretjem računalniku. Menite, da oboje počne isti napadalec. Zato ste znotraj Gmaila preverili izpisek seznama IP naslovov oz. naprav, s katerih je bil v zadnjem času opravljen dostop do vašega GMail računa. Pri tem ste zaznali tri različne IP naslove , od katerih naj bi dva pripadala vam, tretji pa vam neznani mobilni napravi. Kot pravite, sami mobilne naprave (telefona/tablice/idr.) sploh nimate, zato ste prepričani, da ta IP naslov pripada napadalcu. S pomočjo spletne storitve, ki omogoča pridobivanje določenih javnih informacij o IP naslovih (http://whatismyipaddress.com), ste potem ugotovili, da omenjeni IP naslov pripada enemu od lokalnih ponudnikov interneta, s katerim pa vi nimate sklenjene pogodbe. Zanima vas, kako lahko ugotovite, komu (je v kritičnem času) pripadal omenjeni IP naslov. Vprašanje pogojev za pridobivanje podatkov o prometu v elektronskem komunikacijskem omrežju je Pooblaščenec v zadnjih letih večkrat obravnaval; glej npr. mnenje št. 0712-1/2012/2854 z dne 4.6.2013 (http://bit.ly/13iN3CK) ali mnenje Pooblaščenca k predlogu novega Zakona o elektronskih komunikacijah (http://bit.ly/RhfNEy). Kot tam navajamo, so pravne možnosti za to omejene, in sicer zaradi stroge določbe
- člena Ustave Republike Slovenije, ki določa, da je poseg v razumno/upravičeno pričakovano komunikacijsko zasebnost posameznika dovoljen zgolj, če 1) tako določa zakon, 2) je čas posega določno omejen, 3) če je tak poseg nujen za uvedbo ali potek kazenskega postopka in 4) če tak poseg s svojo odločbo dovoljuje sodišče. Gre za pogoje, da se lahko vpogleda v zbirke podatkov o prometu pri operaterju, in ugotovi, kdo je bila oseba, kateri je v določenem času pripadal določen IP naslov, in je torej (posledično) tista, ki je nepooblaščeno dostopala do vaše e-pošte oz. tudi računalnika. Kot je bilo že večkrat potrjeno v praksi Vrhovnega sodišča , Ustavnega sodišča , oz. relevantnih mednarodnih sodišč, omenjena ustavna pravica do varstva tajnosti pisem in drugih občil (komunikacijske zasebnosti) vključuje ne samo varstvo vsebine komunikacije, ampak tudi varstvo okoliščin v zvezi s komunikacijo (t.i. podatkov o prometu, npr. IP naslova, preko katerega se je vršila spletna komunikacija). Vendar pa tako strog režim za dostop do podatkov o komunikaciji neke tretje osebe - kot že nakazano v predprejšnjem odstavku - velja zgolj, če je lahko ta tretja oseba do vsebine komunikacije oz. svoje identitete pri komunikaciji tudi razumno/upravičeno pričakovala zasebnost. Gre za splošno uveljavljeni ustavnopravni test , pri katerem je potrebno pretehtati dva elementa: subjektivno pričakovanje zasebnosti te osebe do zasebnosti IP naslova (in posledično ostalih varovanih osebnih podatkov), ter objektivno upravičenost tega pričakovanja. Glede vašega primera Pooblaščenec opozarja na nedavno odločbo Ustavnega sodišča , v kateri ta navaja, da kadar se je pritožnik sam odrekel upravičenemu pričakovanju zasebnosti, podatki o identiteti IP-naslova (njegovi identiteti) več ne uživajo varstva z vidika
- odstavka
- člena - predvsem omejene dostopnosti samo za kazenski postopek in samo na podlagi odredbe sodišča. Konkretno je vaš napadalec morda res še (subjektivno) pričakoval, da bo njegovo početje ostalo skrito, vendar pa to pričakovanje ni bilo (nujno) tudi objektivno upravičeno. Dejstvo, da izbrani ponudnik e-pošte (Gmail) imetniku računa na enostaven in prosto dostopen način ponuja polni podatek o IP naslovih, s katerih se je vršil dostop do računa, je namreč splošno znano (kot v opombah 1, 2). Napadalec se je torej s svojim ravnanjem - ko je svoji žrtvi razkril svoj IP naslov, v skladu s prakso Ustavnega sodišča sam odrekel varovanju svoje zasebnosti in se zato v primeru razkritja identitete nanjo več ne more (upravičeno) sklicevati. Posledično velja, da tretja oseba (napadalec) več ni upravičena do zaščite svoje identitete na podlagi
- člena Ustave. Podatek o tem, komu je pripadal navedeni IP naslov na določen čas, je torej zaščiten le še kot varovan osebni podatek (po
- členu Ustave oz. po ZVOP-1). Posredovanje tega podatka pa je v skladu z
- členom ZVOP-1 obvezno, če prosilec tega podatka lahko izkaže pravni temelj, v konkretnem primeru eno od možnosti iz
- člena ZVOP-
- Najboljšo možnost za pridobitev podatka o imetniku določenega IP naslova (v določenem času) daje kazenski postopek. Dejanja tretje osebe (napadalca), kot jih opisujete, bi lahko predstavljala zakonske znake kaznivega dejanja napada na informacijski sistem po
- oz.
- odstavku
- člena Kazenskega zakonika (Uradni list RS, št. 50/2012-UPB
- v nadaljevanju KZ-1), in sicer tako za neupravičeno pregledovanje vaše e-pošte kot tudi za neupravičen nadzor vašega računalnika oz. druge iz tega sledeče aktivnosti. V primeru, da je bil nadzor uporabljen tudi za pridobitev bančnih ali drugih podobnih podatkov, bi lahko šlo tudi za kaznivo dejanje goljufije, ali drugo kaznivo dejanje zoper premoženje. Pooblaščenec predlaga, da v zvezi s tem podate kazensko ovadbo na policijo oz. tožilstvo, ter ji priložite tudi vsa potrebna dokazila (vaš računalnik, da izdelajo forenzično sliko diska, izpiske aktivnosti v vašem Gmail računu). V kolikor bo policija mnenja, da obstajajo razlogi za sum, da je bilo storjeno omenjeno oz. drugo uradno pregonljivo kaznivo dejanje, lahko potem v skladu s svojimi pooblastili iz 149.b člena ZKP (»pridobivanje podatkov o prometu v elektronskem komunikacijskem omrežju«) od operaterja tudi pridobi podatke o imetniku spornega IP naslova v kritičnem času. Zoper to osebo boste potem lahko uveljavljali tudi ustrezne premoženjskopravne zahtevke. Alternativno lahko (glede na Pooblaščencu znano prakso okrajnih sodišč) pred pristojnim sodiščem zaprosite za izdajo odredbe za zavarovanje dokazov po
- členu v povezavi z
- členom Zakona o pravdnem postopku. Za izdajo odredbe je v skladu z
- členom ZPP pristojno okrajno sodišče, na območju katerega deluje internetni operater, na katerega naj se glasi odredba. V vlogi za izdajo odredbe navedete sporni IP naslov, vsebino zahtevka (da naj operater sodišču posreduje podatke o naročniku, ki mu je v kritičnem času pripadal sporni IP naslov), ter napoved tožbe zoper tega naročnika. Na podlagi odgovora lahko potem v tožbi uveljavljate različne civilne (tudi premoženjske) zahtevke. A kot že rečeno, so možnosti pridobitve podatkov o identiteti storilca neposredno v civilni pravdi omejene (na primere, ko ta oseba ne more več upravičeno pričakovati svoje zasebnosti), zato vam prvenstveno priporočamo predvsem podajo kazenske ovadbe. S pozdravi, Informacijski pooblaščenec: Nataša Pirc Musar, univ.dipl.prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026