Ministerstvo spravedlnosti odstavilo testovací verzi nového obchodního rejstříku poté, co se ukázalo, že přes ni mohla unikat rodná čísla lidí zapsaných u českých firem a organizací. Potenciálně mohlo jít o údaje až dvou milionů lidí – tolik unikátních osob je v otevřených datech rejstříku zapsáno u jednotlivých společností a spolků jako jednatelé, členové představenstev nebo předsedové, uvádí server iRozhlas.cz.
Ten také na problém upozornil. Čtenář mu nahlásil dvě programátorské chyby v chystaném portálu. První z nich měla způsobovat, že server při vyhledávání osob posílal spolu s veřejnými údaji i rodné číslo a takzvaný kód AIFO. Ten jednoznačně identifikuje člověka vůči státním agendám. Údaje nebyly na stránce vidět, ale byly obsažené v technické odpovědi serveru. Se základní znalostí fungování webu tak bylo možné se k nim dostat, případně upravením dotazu získávat cíleně. Druhá chyba pak umožňovala stahovat neveřejné dokumenty z rejstříku listin prostou změnou čísla v URL adrese.
Ministerstvo po upozornění podle svého vyjádření během několika minut omezilo přístup k dotčené části systému a testovací verzi následně odstavilo. Uvádí, že o incidentu pak informovalo Národní úřad pro kybernetickou a informační bezpečnost i Úřad pro ochranu osobních údajů.
„Podle dosavadních informací poskytnutých dodavatelem se rodná čísla ani kód AIFO v testovací verzi veřejné části veřejných rejstříků běžným uživatelům nezobrazovaly. Nebyly uvedeny na žádné stránce, ve výpisu ani ve výsledcích vyhledávání a uživatel na ně při běžném prohlížení portálu nenarazil,“ uvádí mluvčí ministerstva Vladimír Řepka.
Přiznává ale, že údaje byly obsaženy v technické odpovědi serveru. „K jejich zjištění bylo nutné tuto odpověď cíleně otevřít a prohledat, případně příslušné rozhraní volat mimo standardní uživatelské prostředí portálu. Nešlo tedy o údaje, ke kterým by se uživatel mohl dostat při běžném používání či prohlížení portálu. Jejich získání vyžadovalo aktivní a cílený postup nad rámec standardního uživatelského prostředí,“ popisuje. Dále dodává, že nelze potvrdit počet osob, jejichž údaje mohly být dotčeny, ani skutečný rozsah případného získání dat. „Dosavadní zjištění nepotvrzují, že by došlo k masivnímu úniku dat. Prověřování však nadále pokračuje,“ doplňuje.
Ministerstvo zároveň zvažuje vyvození odpovědnosti vůči dodavateli testovací verze systému, kterým je podle Českého rozhlasu společnost Asseco. Stávající obchodní rejstřík funguje dál bez omezení.
ČLÁNKY DO MAILU