Eddigi legnagyobb próbája elé néz a néhány hónapja bevezetett európai uniós általános adatvédelmi irányelv. A GDPR értelmében elméletben hatalmas büntetést szabhatnak ki. A Facebook történetének eddigi legkomolyabb biztonsági incidense jó alapot szolgáltathat az uniós hatóságoknak a példa statuálására.
Az elmúlt időszakban már több ügy miatt állt a szőnyeg szélén a Facebook – elég csak az amerikai elnökválasztás körüli, vagy a Cambridge Analytica-botrányra gondolni –, a múlt hét végén kirobbant ügy azonban minden eddiginél fájóbb következményekkel járahat.
Az ügy hátterében az áll, hogy egy programhibát kihasználva hackerek 2017 júliusa óta mintegy 50 millió (és elképzelhető, hogy további 40 millió) felhasználó fiókjába juthattak be a hozzáférést biztosító technikai szoftverkulcs (token) megszerzésével. A hibát szeptember 25-én fedezték fel a cég fejlesztői, Zuckerbergék pedig három nappal később, szeptember 28-án tájékoztatták a sajtót a kialakult helyzetről. A közlemény szerint azért is osztották meg ilyen hamar a részleteket a nyilvánossággal, mert "rendkívül komolyan" veszik az ügyet.
[Most tényleg feltörték a Facebookot? Mi lesz az én fiókommal? Segít, ha jelszót változtatok?]
Bár erről nem írtak, de a mielőbbi bejelentésre az Európai Unió a tavasszal életbe lépett adatvédelmi irányelve (GDPR) is kötelezi őket. A The Wall Street Journal úgy számol, ha az uniós hatóságok szabálysértést állapítanak meg, akkor a jogsértés mértékét figyelembe véve a maximális bírságot szabhatják ki a Facebookra, ami a tavalyi éves árbevétel 4 százalékát jelenti. Ez az amerikai vállalat 1,63 milliárd dollárjába kerülhet, azaz nagyjából 454,2 milliárd forintos bírságot jelent.
A bírság összege jelentős mértékben függ attól, hogy a hatóságok vizsgálata mit derít ki azzal kapcsolatban, hogy a Facebook megtett-e mindent a hackelés előtt a felhasználók adatainak biztonsága érdekében.
A BBC szerint nagyon fontos momentum lehet, hogy a Facebook a 72 órás bejelentési kötelezettségének eleget tett, és ki is javította addigra a sérülékenységet. Jon Baines, a Mishcon de Reya ügyvédi iroda adatvédelmi tanácsadója szerint azonban a bírság kiszabásánál nem az számít, hogy mit tettek a hiba felfedezése után, hanem az, hogy mindent megtettek-e a Facebooknál a szivárgás elkerülése érdekében.
Az ügyben már aktívan vizsgálódik az ír adatvédelmi hatóság, mely a Facebooktól már megtudta: az érintett 50 millió felhasználó kevesebb mint tizede európai.
UPDATE Facebook data breach - @DPCIreland understands that the number of potentially affected EU accounts is less than 10% of the 50 million accounts in total potentially affected by the security breach. DPC Ireland statement beneath. #dataprotection #GDPR #EUdataP pic.twitter.com/oSfGy6DP2S
— Data Protection Commission Ireland (@DPCIreland) October 1, 2018
Ez meglehetősen különösen hangzik annak fényében, hogy felmérésünk szerint milyen sok magyar felhasználót érint a hackelés.
Ha tudni szeretne az ügy fejleményeiről, kövesse a HVG Tech rovatának Facebook-oldalát.