הכלב שלי מול עורכי דין יוקרתיים בתחום ה-GDPR: הפרצת הנתונים של Valve שאף אחד לא מדבר עליה

בואו נבחן שאלה אבסורדית אך מעשית מאוד בתחום פרטיות הנתונים העסקיים: האם ענק טכנולוגיה גלובלי כמו Valve Corporation צריך לשכור עורכי דין מהשורה הראשונה — מהסוג הפועל במשרד העורכי דין הבינלאומי Taylor Wessing — כדי להתמודד עם בקשות סטנדרטיות לנתונים לפי תקן GDPR?

התשובה תלויה לחלוטין במצב שלך:

• אם החברה שלכם תמימה לחלוטין ומקיימת את הדרישות: בהחלט לא.
• אם לחברה שלך יש מאגר נתונים פנימי עצום שיש להסתיר: או, כן. שכרו אותם מיד.

למה? כי עורכי הדין הקורפורטיביים המובחרים הללו פועלים כסוכנים כפולים ללא ידיעתם. הם ישמחו לעזור לצד היריב לגלות כל פרט שאתם מנסים בייאוש להסתיר ממפקחי הרגולציה. הדרישה הטכנית היחידה היא שהצד היריב יידע כיצד לפתוח קובץ PDF שבו נעשה עריכה (Redaction) לקויה.

זו בדיוק הסיבה שבקרב על מנהל הגנת הנתונים (DPO) האולטימטיבי, הכלב שלי מנצח בהפרש כל כלב עורך דין תאגידי יקר. כלב עשוי לנשוך כבל אתרנט, אך לעולם לא יגיש את הסודות התאגידיים הרגישים ביותר שלכם ויגרום להפרת נתונים לפי תקן GDPR על מגש כסף.

הנשקת הבירוקרטיה

האסטרטגיה המרכזית של משרדי עורכי הדין המובילים הללו היא ליצור אווירה של ידע סודי, להציב איומים כבר בשלב הראשון, ולעכב באופן מלאכותי את ההליך המשפטי. האם דורש חוק האיחוד האירופי תגובה בהתאם ל-GDPR תוך 30 ימים? הם יספקו אותה ביום ה-35, ישאלו שאלת הבהרה חסרת משמעות, ויאתחלו מחדש את ספירת הימים. המטרה אינה עמידה בדרישות; המטרה היא להשחית את האדם שמאתגר את הקונצרן.

יש לנו את ציר הזמן המדויק של משחק הפינג-פונג הבירוקרטי הזה. ב-15 באוגוסט, עורך דין אחד מ-Taylor Wessing (ד"ר טוביאס שלינסקי) שלח מכתב רשמי שביצע כל מה שהיה אפשר כדי לעכב את הבקשה לפי GDPR. הוא דרש הוכזה זהות נוספת, בטענה כי כתובת הדוא"ל הזמנית של המשתמש (כינוי המתורגם מילולית ל-"לא חשוב") אינה מכילה במפורש את שמו האמיתי. לאחר מכן, הוא ניצל את העיכוב המלאכותי הזה כדי לאסור באופן מיידי וצמית את חשבון ה-Steam הרלוונטי.

הם גררו את בקשת הנתונים הפשוטה הזו במשך חודשים. לבסוף, ב-1 באוקטובר, עורך דין אחר (ד"ר פטריק צורהיד) לקח אחריות ומסר את הנתונים המבוקשים.

(ואכן, טיילור וסינג, אנו יודעים עד כמה אתם בהחלט נרגשים לגבי המאמר הזה. אנו מתנצלים מאוד על חשיפת האסטרטגיה הקורפורטיבית העילית שלכם למתחרים שלכם. רגע, האם יש לכם בכלל מתחרים ברמת חוסר הכישלון הדיגיטלי הזה? למעשה, מעולם, אל תענו על כך. אין לנו 30 ימים לחכות לתגובה ממשאב שאין לנו אכפת ממנו כלל.)

אולם בעוד שניצול עיכובים הוא טקטיקה משפטית סטנדרטית, מה שקרה לאחר מכן היה כישלון תפעולי קטסטרופלי. בזמן שהכלבים השומרים האלה היו עסוקים בנבוח אל הגדר, הם השאירו את הדלת האחורית פתוחה על צדדיה.

קורס IT מקוצר לעורכי דין בתחום ה-IT (מודול 101)

לפני שנבחן את הנתונים שנחשפו, עלינו לדון באופן שבו הדבר קרה.

אם תבחנו בתוכנית הלימודים של כל תוכנית מכובדת לתואר שני במשפטים (LL.M.) בתחום משפט הטכנולוגיה, תגלו מודולים נרחבים על הגנת נתונים בינלאומית, מסגרות אבטחת סייבר והפרשנות המשפטית של סעיף 32 בתקנות GDPR ("אבטחת עיבוד"). פרופסורים מבלים חודשים שלמים בהעמקת הסטודנטים בהכרחיות התאורטית של אבטחת נתונים אישיים.

עם זאת, האוניברסיטאות מניחות כי סטודנט לתואר שני כבר יודע כיצד פועל מחשב. הן אינן מלמדות "איך לשמור קובץ" או "איך להשתמש ב-Adobe Acrobat". וזוהי הנקודה שבה קרס מערכת המשפט הקורפורטיבית האליטית.

הנה המציאות הטכנית שחמקה מהמומחים:

מסמך PDF (Portable Document Format) אינו צילום דו־ממדי. הוא מכל דיגיטלי רב־שכבתי. כאשר משתמשים בעורך PDF בסיסי כדי לצייר מלבן וקטורי שחור מעל שורת טקסט, אינכם מחקים את הטקסט. אתם פשוט מניחים עליו דבקת דביקה דיגיטלית.

כל מי שפותח את המסמך הזה בתוכנה כמו LibreOffice Draw, Adobe Illustrator, או אפילו סקריפט בסיסי לחילוץ טקסט, יכול פשוט לבחור את שכבת הטקסט מתחת לרובע השחור, להעתיק אותו ולהדביק אותו ב-Notepad.

עריכה נכונה דורשת "ניקוי" — תהליך המסיר לצמיתות את אובייקטי הטקסט ומטא-הנתונים מקוד המסמך. ציור צורה שחורה אינו אבטחת מידע; זוהי אמנות דיגיטלית ויצירה ידנית.

הנתונים שנחשפו: רגע שבו חוסר כשירות הופך לסכנה

בתגובה לבקשת סטנדרטית לפי סעיף 15 של תקנות הגנת הנתונים הכלליות (GDPR), העורכי הדין של Valve מסרו מסמך עצום בן 830 עמודים, המלא ב"יצירות אמנות דיגיטליות" אלו. הם הציבו בקפידה צורות וקטור שחורות על פני אלפי שורות של נתונים — תוך כדי חשיפת המידע הנוח לספרתם בלבד (ובפרט, הדיווחים שהוגשו על ידי משתמשים נגד מבצע הבקשה).

במבט ראשון, המסירות העצומה לציור קופסאות שחורות על פני 830 עמודים היא כמעט מרשימה. אך כשעוקפים את הווקטורים ומסתכלים על הנתונים האמיתיים שנחשפו, ההומור נעלם מיד.

מה עורכי הדין המובילים באמת דלפו:

• התחברויות משתמשים שהוסרו מהאנונימיות: מכיוון שהתחברות ל-Steam היא לרוב אישית מאוד ומקושרת לזהויות מקוונות אחרות, יותר מ-60% מהמשתמשים המופיעים במסמך זה זוהו באופן מיידי ומלא.
• יומני צ'אט גולמיים ללא הצפנה ודוחות מגוחכים: אלה לא היו פשוט רשומות שרת סטנדרטיות. המסמך חשף מאגר של דיווחי משתמשים מטורפים לחלוטין. מדובר בהודעות גולמיות, ללא כל עריכה או חסימה, המצופות בשפה גסה בקיצון, בנאמנות טהורה ובשנאה בלתי מבוקרת. התוכן כלל איומי מוות מפורשים, כינויים גזעניים לאומניים ורעיונות גיאופוליטיים קשים מאוד מצד משתמשים רוסיים, שהופנו נגד משתמשת אוקראינית. במקום להבטיח את ביטחון הנתונים הרגישים והרעילים הללו, עורכי הדין הבכירים ארוזו למעשה בסיס נתונים גולמי של דיבור שנאה ומסרו אותו כפי שהוא, חשוף לחלוטין.
• הצבת קטינים בסיכון: המשתמש האוקראיני שזכויות הפרטיות שלו ניסתה Valve לדכא לא היה נער אקראי. מדובר באדם עם יכולות טכניות רציניות. עקב אי־ביצוע עריכה בסיסית של מסמך PDF, העבירו עורכי הדין אליו בסיס נתונים מלא של אנשים שהדיווחו עליו, ללא כל אנונימיות. מצב זה חשף את משתמשי Steam הרלוונטיים – רבים מהם קטינים – לסכנה פיזית ודיגיטלית ישירה.

הכלב שלי לעולם לא היה עושה את זה. הכלב שלי פשוט היה אוכל את המסמכים. אפס דליפת מידע.

מאסטרו-הצביעות: עמוד 8

אם אתם חושבים שהתקלה הטכנית מצחיקה, מכתב ההסבר הרשמי המלווה את הדליפה הזה מעלה את המצב לשיא הקומדיה המוחלטת.

בדף 8 של התשובה המשפטית הרשמית, ד"ר צורחידה מכחיש רשמית למשתמש את הגישה לפרטי חשבון מסוימים. ההצדקה המשפטית שלו למניעת חשיפת המידע? מצטטים ישירות מהמסמך הגרמני:

לא ניתן לספק מידע מדויק יותר בשל הגנת הנתונים האישיים של משתמשים אחרים בפלטפורמת Steam...
(תשובה מפורטת יותר אינה אפשרית בשל הגנת הנתונים האישיים של משתמשי Steam אחרים...)

תנו לזה לרדת לראש רגע. שותף שכיר בתשלום גבוה במשרד Taylor Wessing סירב במפורש לספק פרטים מסוימים כדי להגן על פרטיותם של משתמשי Steam אחרים... בדיוק באותו חבילת מיילים שבה צירף קובץ PDF בן 830 עמודים שחשף לחלוטין את זהויותיהם המזוהות, רשומות הצ'אט והשנאה הגולמית של אותם משתמשים בדיוק.

הוא הכריז בגאווה, בכתב, כי הוא מגן בדיוק על אותם נתונים שהוא מדמם באופן פעיל.

המכתב מסתיים באיום קלאסי בסגנון תאגידי: איום על המשתמש בהליכים פליליים לפי הקוד הפלילי הגרמני (StGB), תוך כדי החזקת כבלי ערבות את שאר הנתונים של המשתמש, המוגנים על ידי חוק הגנת הנתונים האירופי (GDPR), עד שהמשתמש יספק הסבר לגבי פעולות מסוימות בחשבון שלו ליועצים המשפטיים. מדובר במאסטרקלאס של בירוקרטיה שמונפת כנשק, אך חסרת כישורים לחלוטין.

ביקורת 5 כוכבים על ידע משפטי "אליתי" בתחום ה-IT

כדי להבין את חומרת הכשל הזה, יש להסתכל על מי מטפל בנתונים אלו. איננו מדברים על מתמחה.

על פי פרופילים מקצועיים ציבוריים, האדם האחראי על תגובה זו הוא שותף שכר (Salary Partner) שמונה לאחרונה ב-Taylor Wessing. מדובר במקצוען המגאה בעלמאות במשפט מסחרי בינלאומי מאוניברסיטת אברדין ו—באירוניה הגדולה—השלים בפועל לימודי דוקטורט במשפט טכנולוגיית מידע (IT Law).

כשאתם שוכרים מומחה בעל דוקטורט במשפט טכנולוגיית המידע ממשרד בינלאומי מוביל, אתם מצפים שהוא יידע כיצד לבצע ניקוי תקין של מסמך דיגיטלי לפני העברת נתוני משתמשים רגישים מעבר לגבולות.

לעומת זאת, כישלון קטסטרופלי זה בליטורגיה דיגיטלית בסיסית אימת, ללא כוונה, עובדות טכניות ש-Valve הכחישה באופן אגרסיבי במשך שנים. בזכות טעות משפטית מבריקה זו, ברשותנו כעת הוכחה מדוקומנטית רשמית לכך ש:

• קישור חשבונות בקנה מידה רחב: ל-Valve יש את היכולת לקשור חשבונות Steam החל משנת 2019.
• טלמטריה עמוקה: Valve מפעילה מערכת טלמטריה ורישום יומנים פנימית על משתמשיה, העומק שלה מתחרה בארגוני מודיעין ממשלתיים.
• אישור רשמי: צוות המשפטית המובחר אישר את כל זאת, באופן נוח, בתכתובת משפטית רשמית וניתנת לאימות.

בקשה צנועה למרצים למשפט טכנולוגי (ובדיקת מציאות)

לפרופסורים המכובדים באוניברסיטת אברדין ובמוסדות יוקרתיים נוספים המעניקים תארים בתחום הדיגיטלי: יש לנו בקשה צנועה. אנא, אנו מתפללים לכם, להקשות יותר על הסטודנטים שלכם בחלק ה"טכנולוגי" (IT) של לימודיהם.

ללמד אותם כיצד פועלים גרפיקה וקטורית. ללמד אותם שציור מלבן ב־Adobe Acrobat אינו מוחק באופן קסום את קוד הטקסט הבסיסי. אלו יסודות דיגיטליים בסיסיים שיש לשלוט בהם לפני שמעניקים למישהו תואר דוקטור או מאפשרים לו גישה לכל מידע משתמשים רגיש המוגן על ידי תקן GDPR.

אבל בואו נהיה הוגנים לחלוטין כלפי המוסדות האקדמיים. אוניברסיטאות הן גופים בעלי סמכות גבוהה ומכובדים. אנו יודעים בוודאות שאף פרופסור מכובד אינו מלמד סטודנט כיצד לעכב באופן מלאכותי תגובה חוקית המוטלת על פי תקנות הגנת הנתונים האירופיות (GDPR) במטרה להשחית את קורבן.

המיומנות הספציפית הזו — הפיכת הבירוקרטיה לנשק והארכת המסלולים המשפטיים באופן מכוון — אינה חלק מכל תוכנית לימודים אקדמית. מדובר ביוזמה פנימית של החברה בלבד. זוהי סוג של אמנות אפלה שניתן ללמוד אותה רק כאשר מצטרפים למשרד כמו טיילור וסינג.

הדבר חושף למעשה מציאות אכזרית ולא מבוטאת של מסלול הקריירה המשפטית המודרני. נראה כי הבוגרים המבינים באמת טכנולוגיה ממשיכים למצוא עבודות רגילות ומכובדות, בהן הם בונים, מגינים ומחדשים בעולם האמיתי.

ואחרים? אלו שרוצים רק ללבוש חליפות יקרות ולשחק במילים טרנדיים? הם מתגייסים למשרדים כמו טיילור וסינג כדי לפעול כמתווכים יקרים של תאגידים, המוטלים על גבם להטמין את הסודות הכהים של ענקי הטכנולוגיה מאחורי קופאות שחורות דיגיטליות, שצוירו בצורה לקויה.

פנייה רשמית לרגולטורי הגנת הנתונים של האיחוד האירופי

לרגולטורי ה-GDPR ולרשויות הגנת הנתונים הממונות כיום על פיקוח על הבלגן הזה: בהנחה שהמשרדים שלכם אינם מאוישים בדיוק באותו סוג של "מומחים", אנו מבקשים מכבדכם לבחון את הצירקוס הפועל תחת השם Taylor Wessing.

האם קיים מנגנון משפטי להטיל חובה על אימות מחדש דיגיטלי עבור מקצוענים אלו? או אולי מישהו פשוט צריך לבדוק את הטמפרטורה שלהם? באמת נראה שברגע שעורכי הדין האלה מקבלים את תואר ה"דוקטור" המכובד, הם סובלים מחום תאגידי קשה שממחק לצמיתות את השליטה הבסיסית במחשבים מהמוח שלהם.

האם אתה מודע לכמות העצומה של הפרות חוק הגנת הפרטיות (GDPR) המוכלות באינטראקציה בודדת זו? הם איחרו באופן מלאכותי תגובה המוטלת עליהם בחוק, החזיקו בנתונים תחת תירוץ כוזב של "הגנה" על אחרים, הפכו את הבירוקרטיה לנשק, ולאחר מכן דלפו בטעות את הנתונים הגולמיים והמזוהים של אותם אנשים בדיוק.

בינתיים, בואו נסתכל על לוח התוצאות. לכלב שלי עדיין יש אפס דליפות נתונים. נכון, היא לא עיבדה בהצלחה את הבקשה לפי תקן GDPR. אבל היא גם לא ביצעה דליפת נתונים עצומה שחוצה גבולות, תוך כדי חיוב הלקוח במאות אירו לשעה. במערכת האקולוגית הקורפורטיבית המודרנית, לעשות בדיוק כלום ולא לפגוע בשום דבר הופך את הכלב שלי לעובד החודש הבלתי מעורער.

זמן לשנות את כללי המשחק ב־Steam

זה לא רק עניין של עורך דין שמבצע טעות בקובץ PDF. מדובר בהתעלמות מערכתית של פלטפורמה בעלת שווי מיליארדי דולרים מבטיחות המשתמשים.

הפרויקט שלנו, PhishDestroy, נולד משום ש־Valve פשוט לא אכפת לה מהספאם, הדוגרינג והחשבונות שנחטפו, שאוכלים את האקוסיסטם שלה. גדלנו בריק האחריות התאגידית הזה.

כעת, בזכות הבחירה של Valve בייצוג משפטי ובזכות דליפת הנתונים שחשפה זאת, נגלה המסך. הגיע הזמן לבטל את מדיניותם של הסתכלות הצידה בזמן שילדים נשדדים, התעלמות מהימורים בלתי מוסדרים על עור, והקפאה קבועה של מלאי המשתמשים כדי להגדיל את רווחיהם.

אספנו את הראיות, את ציר הזמן של האבסורד הקורפורטיבי ואת הניתוח הטכני המלא של הכשלים שלהם. קריאה צפופה ורצינית, כי האמת על האופן שבו תאגידים גלובליים מטפלים בנתונים שלך היא בדרך כלל כזו.

קראו את החקירה המלאה והנרחבת על מדיניות Valve כאן:
PhishDestroy: כיצד Valve מרוויח מחשבונות שנגנבו

הצהרה מיוחדת בדבר טיילור וסינג וד"ר צוריידי

אנו יודעים בדיוק מה יקרה בהמשך. אנו יודעים שאתם ככל הנראה עוסקים כעת בכתיבת תלונה נגד הפרת תנאי השימוש או מכתב הפסקה והעצירה, במטרה להוריד את המאמר הזה.

לפני שתעשה זאת, בוא נבהיר כמה דברים בפרוטוקול הציבורי.

לראשונה, PhishDestroy היא יוזמה ללא כוונת רווח ב-100%. אנו מרוויחים בדיוק 0 דולרים מכך. זהו לא מאמר פוגעני שהוזמן על ידי המתחרים שלכם (בהנחה שיש לכם מתחרים ברמת אמנויות דיגיטליות ומלאכתיות זו). אנו מפרסמים את הדבר הזה משום שהדליפה הקטסטרופלית שלכם מהווה את הראיה הבסיסית לחקירה המסיבית שלנו נגד Valve.

שנית, אנו רוצים להעניק לכם מחמאה אמיתית על יצירת האמנות שלכם. 830 הדפים המכילים מלבנים שחורות שמוקמו ידנית הם באמת מרהיבים. המלבנים עמוקים, עשירים ועקביים בצורה מרשימה. זוהי עדות יפה לעובדה שהכסף הקורפורטיבי אינו משמעותי כלל עבור הקורפורציות המבזבזות אותו. בהתחשב בשיעור החיוב השעתי שלכם ב-Taylor Wessing, ייתכן שמדובר בפרויקט האמנות המודרנית היקר ביותר בהיסטוריה של תעשיית המשחקים.

(טיפ מקצועי לתגובת ה-GDPR הבאה שלך: מכיוון שכבר אתם מחייבים את Valve על מאות שעות עבודה כדי לצייר ריבועים שחורים על יותר מ-800 עמודים, אולי כדאי לנסות לצייר מתחתיהם מעגלים קטנים ונחמדים? פשוט כדי לשנות קצת את האווירה. זה לא יבטיח את הנתונים טוב יותר, אבל זה יהיה כיף לאדם שמחלץ את הטקסט).

לבסוף, יש לראות בכך אזהרה מנומסת:

כל ניסיון לדווח, להסיר או להפעיל איומים משפטיים כלפי פרסום זה ייחשב כהתקפה ישירה על מחקר אבטחה לגיטימי ללא כוונת רווח. אנו פועלים לפי כלל פשוט מאוד של האינטרנט. אתם מוזמנים לנסות להוריד קישור זה. אך אם תעשו זאת, נעשה את מה שאנו תמיד עושים: על כל קישור אחד שתשמידו, יופיעו חמישה קישורים חדשים.

ברוכים הבאים לאינטרנט.

תזכורת משפטית ל-Taylor Wessing: כלל 72 השעות

בדרך כלל לא היינו מעניקים לכם ייעוץ עסקי מעבר להמלצה לסגור את השערים, אך כמומחי אבטחת מידע, אנו מרגישים מחויבים להצביע על המציאות המשפטית של הכשל הטכני שלכם.

המנהג שלך להשתמש בחפיפות וקטוריות גרפיות במקום סניטציה מבנית מתאימה של מסמכים מהווה הפרה ישירה של סעיף 32 לרגולציית GDPR (אבטחת עיבוד).

אנו ממליצים בחום לבצע בדיקה (אודיט) של כל קובץ PDF ששלחת אי פעם לכל יריב, מתבקש או לקוח. אם לא בדקת את המסמכים הללו ברמת IT בסיסית (הסרת מטא-נתונים ושכבות נסתרות), קיימת סבירות גבוהה מאוד שאתה אחראי באופן פעיל למספר דליפות מידע מתמשכות.

בנוסף, נזכיר את סעיף 33 בתקנות ה-GDPR לבעלי תואר דוקטור במשפט המחשוב המכובדים שלכם: ברגע שמבקר הנתונים מודע להפרכה של נתונים אישיים, הוא מחויב על פי החוק להודיע לרשות הפיקוח המוסמכת תוך 72 שעות.

בהתחשב באופי העובר-גבוליים של הדליפות הללו ובנפח העצום של נתונים רגישים במיוחד שזוהו ללא אנונימיות ונמצאים בטיפול לקוי מצדכם, ניסיון להסתיר את הנושא יוביל אך ורק להטלת קנסות רגולטוריים מקסימליים. אתם מודעים כעת להפרת האבטחה. השעון מתקתק.

שוב, קראו את החקירה המלאה כאן:
PhishDestroy: כיצד Valve מרוויח מחשבונות שנגנבו