Mijn hond versus elite-GDPR-advocaten: de Valve-datalek die niemand over praat

Laten we een absurde, maar uiterst praktische vraag in het domein van de zakelijke gegevensprivacy verkennen: zou een wereldwijd techgigant als Valve Corporation elite-aanvallsadvocaten moeten inhuren — zoals die bij het internationale advocatenkantoor Taylor Wessing — om standaard GDPR-gegevensverzoeken af te handelen?

Het antwoord hangt volledig af van uw situatie:

• Als uw bedrijf volledig onschuldig en conform is: Absoluut niet.
• Als uw bedrijf een enorme interne databewaarplaats heeft die verborgen moet blijven: Oh, ja. Huur ze onmiddellijk in.

Waarom? Omdat deze elite bedrijfsadvocaten onwetend als dubbelagenten fungeren. Zij helpen uw tegenpartij graag om alles wat u wanhopig probeert te verbergen voor toezichthouders, bloot te leggen. De enige technische vereiste is dat uw tegenpartij weet hoe een slecht geredigeerde PDF geopend kan worden.

Dit is precies waarom, in de strijd om de ultieme Functionaris Gegevensbescherming (FG), mijn hond een dure corporate advocaat met overmacht verslaat. Een hond kan wel een ethernetkabel afbijten, maar hij zal nooit je meest gevoelige bedrijfsgeheimen serveren en zo een GDPR-gegevenslek veroorzaken op een zilveren schotel.

De wapenizing van de bureaucratie

De kernstrategie van deze toptier juridische kantoren is om een aura van geheimzinnig inzicht te projecteren, de tegenpartij direct bij het begin te intimideren en het juridische proces kunstmatig te vertragen. Vereist EU-recht een reactie op grond van de AVG binnen 30 dagen? Zij leveren deze in op dag 35, stellen een zinloze verduidelijkende vraag en zetten de teller opnieuw op nul. Het doel is niet conformiteit; het doel is de persoon die de corporatie uitdaagt, uit te putten.

We beschikken over de exacte tijdlijn van dit bureaucratische pingpongspel. Op 15 augustus stuurde een advocaat van Taylor Wessing (Dr. Tobias Schelinski) een formele brief waarin hij alles in het werk stelde om de GDPR-verzoek te vertragen. Hij eiste aanvullende identificatiebewijzen, met als argument dat het burner-e-mailadres van de gebruiker (een alias dat letterlijk vertaald wordt als 'NietBelangrijk') niet expliciet hun echte naam bevatte. Vervolgens maakte hij gebruik van deze gefabriceerde vertraging om het betreffende Steam-account onmiddellijk en permanent te blokkeren.

Ze trokken deze eenvoudige gegevensverzoek maandenlang uit. Eindelijk, op 1 oktober, nam een andere advocaat (Dr. Patrick Zurheide) het over en leverde de gevraagde gegevens aan.

(En ja, Taylor Wessing, we weten hoe ontzettend blij u moet zijn over dit artikel. Het spijt ons zo dat we uw elite-ondernemingsstrategie aan uw concurrenten hebben onthuld. Wacht, heeft u op dit niveau van digitale incompetentie überhaupt concurrenten? Eigenlijk, vergeten we het, antwoord daar niet op. We hebben geen 30 dagen de tijd om te wachten op een reactie van een partij die ons volkomen onverschillig is.)

Hoewel het inzetten van vertraging een gangbare juridische tactiek is, was wat daarna gebeurde een catastrofale operationele mislukking. Terwijl deze hoeders druk waren met het blaffen aan de omheining, lieten ze de achterdeur wagenwijd open.

Een beknopte IT-basisopleiding voor IT-juristen (Module 101)

Voordat we de gelekte gegevens bekijken, moeten we bespreken hoe dit is gebeurd.

Als u de syllabus van een respectabel Master of Laws (LL.M.)-programma in IT-recht bekijkt, zult u uitgebreide modules aantreffen over internationale gegevensbescherming, cybersecuritykaders en de juridische interpretatie van GDPR artikel 32 („Beveiliging van verwerking”). Docenten besteden maanden aan het doordringen van de theoretische noodzaak van het beveiligen van persoonsgegevens bij studenten.

Universiteiten gaan er echter van uit dat een masterstudent reeds weet hoe een computer werkt. Ze geven geen lessen als “Hoe sla je een bestand op” of “Hoe gebruik je Adobe Acrobat”. En hier is het elitebedrijfsrechtelijke systeem ingestort.

Dit is de technische realiteit die aan de experts was ontsnapt:

Een Portable Document Format (PDF) is geen vlakke foto. Het is een gelaagde digitale container. Wanneer u met een basis-PDF-editor een zwarte vectorrechthoek over een regel tekst tekent, wist u de tekst niet. U plaatst er simpelweg een digitale post-it over.

Iedereen die dat document opent in een programma zoals LibreOffice Draw, Adobe Illustrator of zelfs een basale tekstscraping-script, kan eenvoudig de tekstlaag onder de zwarte selectievak selecteren, kopiëren en plakken in Notepad.

Correcte redactie vereist “sanitisatie” — een proces dat de tekstobjecten en metadata definitief verwijdert uit de documentcode. Een zwarte vorm tekenen is geen cybersecurity; het is digitaal knutselwerk.

De gelekte gegevens: wanneer onbekwaamheid gevaarlijk wordt

In reactie op een standaardverzoek op grond van artikel 15 van de AVG, leverde de juridische vertegenwoordiging van Valve een omvangrijk document van 830 pagina's op, gevuld met deze digitale 'knutselwerkjes'. Ze plaatsten zorgvuldig zwarte vectorvormen bovenop duizenden rijen gegevens, waarbij uitsluitend de informatie zichtbaar bleef die handig was voor hun narratief (namelijk gebruikersklachten die tegen de aanvrager waren ingediend).

Op het eerste gezicht is de pure toewijding aan het tekenen van zwarte doosjes over 830 pagina’s bijna indrukwekkend. Maar zodra je de vectoren omzeilt en kijkt naar de daadwerkelijk gelekte gegevens, verdwijnt de humor direct.

Wat de elite-advocaten daadwerkelijk hebben gelekt:

• De-anonimiseerde gebruikersinloggegevens: Omdat een Steam-login vaak van een diep persoonlijk karakter is en gekoppeld is aan andere online identiteiten, konden meer dan 60% van de gebruikers in dat document direct en volledig worden geïdentificeerd.
• Onversleutelde, ruwe chatlogs en onzinrapporten: Dit waren geen gewone serverlogs. Het document onthulde een schat aan volstrekt onzinnige, absurde gebruikersrapporten. We hebben het over ruwe, niet-geschrubde berichten die vol zitten met extreme scheldwoorden, pure jaloezie en ongebreidelde haat. Het bevatte letterlijke doodswensen, nationalititsgerelateerde beledigingen en ernstige geopolitieke haatdragende uitingen van Russische gebruikers, gericht op een Oekraïense gebruiker. In plaats van deze uiterst gevoelige en toxische gegevens adequaat te beveiligen, hebben de topadvocaten in wezen een ruwe database vol haatretoriek verpakt en overhandigd, volledig blootgesteld.
• Minderjarigen in gevaar brengen: De Oekraïense gebruiker wiens privacyrechten Valve probeerde te onderdrukken, was geen willekeurige tiener. Het gaat om een individu met aanzienlijke technische vaardigheden. Door het niet correct uitvoeren van een basis-PDF-redactie, hebben de advocaten hem een volledig gedeanonimiseerde database van de personen die hem hadden gemeld, in handen gespeeld. Hierdoor werden deze Steam-gebruikers — velen van wie minderjarigen zijn — in direct fysiek en digitaal gevaar gebracht.

Mijn hond zou dit nooit doen. Mijn hond zou gewoon de documenten opeten. Geen enkele datalek.

Het meesterwerk van de hypocriete: Pagina 8

Als je de technische mislukking grappig vindt, verheft de officiële begeleidende brief bij deze lek de situatie tot absolute hoogcomedy.

Op pagina 8 van de officiële juridische reactie ontkent dr. Zurheide de gebruiker formeel toegang tot bepaalde accountgegevens. Zijn juridische onderbouwing voor het achterhouden van de informatie? Wij citeren rechtstreeks uit het Duitse document:

Een gedetailleerder antwoord is niet mogelijk wegens de bescherming van de persoonsgegevens van andere gebruikers van het Steam-platform…
(Een gedetailleerder antwoord is niet mogelijk wegens de bescherming van persoonsgegevens van andere Steam-gebruikers…)

Laat dat even tot je doordringen. De hoogbetaalde Salary Partner bij Taylor Wessing weigerde expliciet bepaalde details te verstrekken om de privacy van andere Steam-gebruikers te beschermen… in precies hetzelfde e-mailpakket waarin hij een PDF van 830 pagina's had bijgevoegd die de de-anonimiseerde identiteiten, chatlogs en ruwe haatretoriek van precies diezelfde gebruikers volledig onthulde.

Hij verklaarde trots schriftelijk dat hij precies die gegevens beschermde die hij actief aan het lekken was.

De brief sluit af met een klassieke corporate-intimidatietactiek: de gebruiker wordt met strafrechtelijke vervolging op grond van het Duitse Strafwetboek (StGB) bedreigd, terwijl tegelijkertijd de overige, wettelijk gegarandeerde AVG-gegevens van de gebruiker als gijzelaar worden gehouden totdat de gebruiker bepaalde accountgedragingen aan de juristen “toelicht”. Het is een meesterklasse in geweaponiseerde, maar volkomen onbekwame bureaucratie.

Een 5-sterrenbeoordeling voor “elite” IT-juridische expertise

Om de ernst van dit falen te begrijpen, moet u kijken naar wie deze gegevens verwerkt. Het gaat hier niet om een stagiair.

Volgens openbare professionele profielen is de persoon die verantwoordelijk is voor deze reactie onlangs benoemd tot Salary Partner bij Taylor Wessing. Het betreft een professional die een Master of Laws in Internationaal Handelsrecht van de Universiteit van Aberdeen heeft behaald en — in de ironie van de ironie — letterlijk een doctoraal in IT-recht heeft afgerond.

Wanneer u een specialist inhaalt met een doctoraat in het informatierecht van een toonaangevend internationaal kantoor, verwacht u dat deze weet hoe een digitaal document correct moet worden gesaneerd voordat gevoelige gebruikersgegevens over de grens worden overgedragen.

In plaats daarvan heeft dit catastrofale falen op het gebied van basisdigitale geletterdheid per ongeluk technische realiteiten bevestigd die Valve al jarenlang stellig ontkent. Dankzij deze spectaculaire juridische fout beschikken we nu over officieel gedocumenteerd bewijs dat:

• Massale koppeling van accounts: Valve beschikt over de mogelijkheid om Steam-accounts te traceren die teruggaan tot 2019.
• Diepte-telemetrie: Valve onderhoudt een intern telemetrie- en loggingsysteem voor zijn gebruikers dat qua diepgang in de schaduw staat van statelijke inlichtingendiensten.
• Officiële bevestiging: Het elite juridische team bevestigde dit alles handig in officiële, verifieerbare juridische correspondentie.

Een bescheiden verzoek aan IT-rechtspromotoren (en een realiteitscheck)

Aan de geachte professoren aan de Universiteit van Aberdeen en andere vooraanstaande instellingen die opleidingen in IT-recht aanbieden: wij hebben een bescheiden verzoek. Alstublieft, wij smeken u, eisen van uw studenten meer inspanning op het daadwerkelijke “IT”-onderdeel van hun opleiding.

Leer hen hoe vectorgrafie werkt. Leer hen dat het tekenen van een vakje in Adobe Acrobat de onderliggende tekstcode niet magisch verwijdert. Dit zijn absolute digitale basisvaardigheden die moeten worden beheerst voordat iemand een doctoraat wordt toegekend of toegang krijgt tot gevoelige GDPR-gebruikersgegevens.

Maar laten we de academische instellingen volledig recht doen. Universiteiten zijn hoogwaardige en respectabele entiteiten. We weten zeker dat geen enkele gerenommeerde professor een student leert om een wettelijk verplichte GDPR-reactie kunstmatig uit te stellen om een slachtoffer te putten.

Die specifieke vaardigheid — de wapenizing van bureaucratie en het opzettelijk verlengen van juridische termijnen — maakt geen deel uit van enig universitair curriculum. Het is strikt een intern bedrijfsinitiatief. Het is het soort duister vak dat je alleen leert als je bij een kantoor als Taylor Wessing komt te werken.

Het belicht in feite een wrede, onuitgesproken realiteit over de moderne loopbaanpaden in de juridische sector. Het lijkt erop dat afgestudeerden die technologie echt begrijpen, doorgaan naar normale, respectabele banen waarin ze in de echte wereld bouwen, beschermen en innoveren.

En de anderen? Degenen die alleen maar dure pakken willen dragen en met buzzwords willen spelen? Zij gaan naar kantoren als Taylor Wessing om te fungeren als hoog betaalde corporate fixers, met de taak om de schimmige geheimen van techgiganten te begraven achter slecht getekende digitale black boxes.

Een formeel verzoek aan de Europese gegevensbeschermingsautoriteiten

Aan de GDPR-regulatoren en autoriteiten voor gegevensbescherming die momenteel belast zijn met het toezicht op deze rommel: mits uw kantoren niet bemand zijn door precies hetzelfde type „experts”, verzoeken wij u respectvol om het circus dat onder de naam Taylor Wessing opereert, te onderzoeken.

Bestaat er een wettelijk mechanisme om digitale hercertificering voor deze professionals verplicht te stellen? Of zou iemand hun temperatuur gewoon moeten meten? Het lijkt er inderdaad op dat het moment waarop deze advocaten hun prestigieuze titel “Dr.” ontvangen, ze een ernstig bedrijfskoorts oplopen dat hun basiscomputerkennis permanent uit hun hersenen wist.

Beseft u zich de enorme omvang van de GDPR-infracties die in deze ene interactie zijn begaan? Ze hebben een wettelijk verplichte reactie kunstmatig vertraagd, gegevens achtergehouden onder het valse voorwendsel van het “beschermen” van anderen, de bureaucratie als wapen ingezet en vervolgens per ongeluk de ruwe, gedepseudonimiseerde gegevens van precies diezelfde personen gelekt.

Laten we ondertussen eens kijken naar de scorebord. Mijn hond heeft nog steeds exact nul datalekken. Ze heeft de GDPR-verzoek inderdaad niet succesvol verwerkt, maar ze heeft ook geen massaal, grensoverschrijdend datalek veroorzaakt terwijl ze de klant honderden euro’s per uur in rekening bracht. In het moderne corporate ecosysteem maakt het absoluut niets doen en simpelweg geen fouten maken mijn hond tot de onbetwiste medewerker van de maand.

Tijd om de spelregels op Steam te veranderen

Dit gaat niet alleen om een advocaat die een fout maakt met een PDF. Het gaat om het systematische negeren van de veiligheid van gebruikers door een platform met een omzet van miljarden dollars.

Ons project, PhishDestroy, ontstond omdat Valve zich blijkbaar niet druk maakte over de onbeheerde spam, phishing en overgenomen accounts die zijn ecosysteem verwoestten. Wij groeiden in dat vacuüm van ontbrekende corporate verantwoordelijkheid.

Nu, dankzij de keuze van Valve voor juridische vertegenwoordiging en het daaropvolgende datalek, is het sluier afgetrokken. Het is tijd om hun beleid van het wegzetten van de ogen terwijl kinderen worden beroofd, het negeren van ongeruleerde skin-gokken en het permanent bevriezen van gebruikersinventaris om hun eigen omzet te verhogen, af te breken.

Wij hebben het bewijsmateriaal, de chronologie van het corporate absurdisme en de volledige technische analyse van hun falen samengesteld. Het is een dichte, serieuze lezing, want de werkelijkheid van hoe multinationale bedrijven omgaan met uw gegevens is dat doorgaans ook.

Lees hier het volledige, uitgebreide onderzoek naar de praktijken van Valve:
PhishDestroy: Hoe Valve profiteert van gestolen accounts

Een speciale disclaimer voor Taylor Wessing en Dr. Zurheide

We weten precies wat er nu gaat gebeuren. We weten dat u op dit moment waarschijnlijk een klacht wegens schending van de gebruiksvoorwaarden of een stoporder opstelt om dit artikel te laten verwijderen.

Voordat u dat doet, laten we eerst enkele zaken in het openbaar register verduidelijken.

Ten eerste is PhishDestroy een 100% non-profit-initiatief. Wij verdienen hier exact $0 mee. Dit is geen aanval op uw reputatie, in opdracht van uw concurrenten (aangenomen dat u op dit specifieke niveau van digitale kunst en ambacht überhaupt concurrenten heeft). Wij publiceren dit omdat uw catastrofale lek de fundamentele bewijsbasis vormt voor ons uitgebreide onderzoek naar Valve.

Ten eerste willen we uw kunstwerk oprecht complimenteren. Die 830 pagina's met handmatig geplaatste zwarte rechthoeken zijn werkelijk prachtig. De vierkanten zijn diep, rijk en opmerkelijk consistent. Het is een prachtig bewijs van het feit dat corporatiegeld voor de bedrijven die het uitgeven absoluut niets betekent. Gezien uw uurtarief bij Taylor Wessing, zou dit wellicht het duurste moderne kunstproject in de geschiedenis van de gaming zijn.

(Handige tip voor je volgende GDPR-reactie: aangezien je Valve al honderden uren in rekening brengt om zwarte vierkanten op meer dan 800 pagina’s te tekenen, probeer dan misschien een paar leuke kleine cirkels eronder te tekenen. Alleen om afwisseling te creëren. Het zal de gegevens niet beter beveiligen, maar het zal leuk zijn voor de persoon die de tekst extraheert).

Tot slot, beschouw dit als een beleefde waarschuwing:

Elke poging om deze publicatie te melden, te verwijderen of juridische dreigementen uit te spreken, zal worden beschouwd als een directe aanval op legitiem, niet-commercieel beveiligingsonderzoek. Wij handelen naar een zeer eenvoudige regel van het internet. U bent van harte welkom om te proberen deze link te laten verwijderen. Maar als u dat doet, zullen wij doen wat wij altijd doen: voor elke link die u vernietigt, verschijnen er vijf nieuwe.

Welkom op het internet.

Een juridische herinnering aan Taylor Wessing: de 72-uurregel

Wij zouden u normaal gesproken geen zakelijk advies geven dan “sluit uw deuren”, maar als cybersecurity-experts voelen wij ons verplicht om de juridische realiteit van uw technische falen aan te kaarten.

Het gebruik van grafische vector-overlays in plaats van een correcte structurele documentontsmetting is een directe schending van artikel 32 van de AVG (Beveiliging van verwerking).

Wij adviseren u dringend om elke PDF die u ooit aan een tegenpartij, aanvrager of cliënt heeft verzonden, te auditen. Als u deze documenten niet op fundamenteel IT-niveau heeft gecontroleerd (met name het verwijderen van metadata en verborgen lagen), is de kans uiterst groot dat u actief verantwoordelijk bent voor meerdere, aanhoudende datalekken.

Daarnaast herinneren wij uw geachte IT-juristen met een doctoraat aan artikel 33 van de AVG: zodra een verwerkingsverantwoordelijke op de hoogte is van een inbreuk op de beveiliging van persoonsgegevens, is hij wettelijk verplicht de bevoegde toezichthouder binnen 72 uur te informeren.

Gezien de grensoverschrijdende aard van deze lekken en de enorme hoeveelheid uiterst gevoelige, geanonimiseerde gegevens die u onzorgvuldig behandelt, zal het proberen om deze zaak onder de pet te houden uitsluitend leiden tot maximale regelgevende sancties. U bent nu op de hoogte gesteld van de inbreuk. De klok tikt.

Lees hier opnieuw het volledige onderzoek:
PhishDestroy: Hoe Valve profiteert van gestolen accounts