Revolut adatvédelmi incidens
Mi is az az adatvédelmi incidens❓
Kétségtelen tény, itt a Revolut előnyei témámban ez egy kakukktojás cikk lesz, de a belőlem fakadó objektivitás nem engedi meg számomra, hogy ignoráljam a megtörtént adatvédelmi incidens témáját.
ℹ️ Adatvédelmi incidens:
Az Európai Bizottság Adatvédelmi Irányelvei szerint az adatvédelmi incidens a biztonság olyan sérülése, amely a személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan továbbítását vagy nyilvánosságra hozatalát okozza.
Revolut adatvédelmi incidens, de csak a Revolut a ludas❓
Korántsem csak a Revolut a ludas❗Ő annyiban volt hibás, bár álláspontom szerint ez is fajsúlyos, hogy először rögtön cselekedett, mint a jó kisfiú, szót fogadva a vélelmezett állambácsinak, és csak utána végezte el az ellenőrzést.
A Revolut hiába érvel azzal, hogy a pénzeszközökben kár nem keletkezett, hiszen a személyi okmányokkal való visszaélés a jövőben akár anyagi károkat is okozhat az érintetteknek.
🤔 Mi áll pontosan az adatvédelmi incidens hátterében❓
A probléma központjában a PEC (Posta Elettronica Certificata) azaz az olasz állam hitelesített, jogilag kötelező erejű e‑mail rendszere áll. Ez olyan, mint egy digitális ajánlott levél. Bizonyítja a feladást, a kézbesítést, és hivatalos hatósági kommunikációra használják. Tehát a PEC még csak nem is közvetlenül az olasz állam által működtetett. Az Olasz Állam kiadta a szabványt, auditálta a szolgáltatókat, és engedélyezte, hogy magáncégek működtessék a rendszert. Ezért van az, hogy több PEC belépési pont is lehetséges, az 🔗 aruba.it egy a többi opció között.
Miért volt problémás, hogy a Revolut előbb cselekedett, s utóbb gondolkodott❓
💡 Azért, mert már csak a puszta logika is meggátolhatta volna az adatkérés azonnali teljesítését. Ugyanis egy olasz prefektúrának jogilag semmi köze sincs más országok (például svájci vagy francia) állampolgárainak adataihoz. Márpedig a kamu adatigénylés nemcsak olasz állampolgárokra terjedt ki.
✅ A lényeg, ha egy PEC‑fiókot feltörnek, az olyan, mintha egy kormányhivatal bélyegzőjét lopnák el❗
Ebben a sztoriban a Revolut, azt a sürgősségi kontextust hitte el, hogy a csalók („iamnotavillain” nevű hacker csoport), határokon átnyúló, nemzetközi pénzmosási vagy terrorizmus-finanszírozási nyomozásra hivatkoztak, olyan ügyre, amit a Europol koordinál, és így jelölték meg a nemcsak olasz állampolgárokra kiterjedő adatkérési igényüket. A Revolut pedig ezt megkajálta, mint maci a málnát 😂
Az alapvető probléma ami miatt az adatvédelmi incidens sajnos megtörtént az volt, hogy a Revolut csak technikai ellenőrzést hajtott végre, SPF, DKIM, DMARC, PEC‑tanúsítvány hitelességi kontrollját, de az eszüket már nem használták, hogy utána menjenek annak a részletnek, hogy valid -e a sztori.
Nem a PEC infrastruktúra bukott el, inkább úgy fogalmaznék, hogy a PEC-felhasználói fiókja kompromitálódott.
Alapvetően teljesen legálisan ki férhet hozzá egy PEC-fiókhoz❓
Csak és kizárólag, hivatalos személy. Állami tisztviselő, prefektúrai alkalmazott, minisztériumi ügyintéző, önkormányzati hivatalnok, ügyvéd, közjegyző, vagy más jogilag regisztrált szereplő. Tehát az adatvédelmi incidens kialakulásához, bizony kellett a kompromitálódott fiók felhasználójának igencsak felelőtlen habitusa is❗
A KYC már magában potenciális adatvédelmi incidens esélynövelő
Óvakodj a túlzott CEX használattól 👇
Kiemelném így búcsúzó lelki fröccsöm keretében azt a tényt, hogy a Revolut is MiCA engedéllyel rendelkező cég. Tehát, maga a joghatóság kényszeríti rá, hogy az Ügyfeleken a KYC eljárást végig vigye. Ennek keretében mindenféle megadott adatot öt évig tárol, amit meg is őriz, még fióklezárás esetén is.
A jogalkotók mindig azzal érvelnek, hogy a társadalmak védelme érdekében szabályoznak. Ugyanakkor egy adatvédelmi incidens által okozott kár, kifejezetten az érintett Ügyfélnek vagy Ügyfeleknek, jóval nagyobb tud lenni, mint az az előny, amit ezek a szabályozás alá vont cégek biztosítani tudnak.
Azt a megállapításomat, hogy például a Revolut öt esztendeig megőrzi ezeket az adatokat, még szerződésbontás után is, azt az 🔗 Európai Parlament és a Tanács (EU) 2024/1624 rendeletének – ami a pénzügyi rendszer pénzmosás vagy terrorizmusfinanszírozás céljára való felhasználásának megelőzéséről szól –, 77. cikk (3) bekezdésére alapítom. Főleg a decentralizált technológiákkal foglalkozó cikkeimben, esetleg a Kripto Lexikon értelmezésében szoktam mindig olyan kifejezéseket használni, hogy a „pénzmosás féle mantra”. Ezt nem véletlen teszem, hiszen az Ügyfél védelme érdekében meghúzódva, a szabályozások, jóval nagyobb esetleges károkat alapíthatnak.
✅ Fent hivatkozott rendelet releváns részéből 👇
📜 „(3) Az (1) és a (2) bekezdésben említett információkat az üzleti kapcsolat megszűnésének vagy az alkalmi ügylet végrehajtásának időpontját, vagy az üzleti kapcsolat létesítése, vagy az alkalmi ügylet végrehajtása megtagadásának időpontját követő 5 évig meg kell őrizni. Az (EU) 2016/679 rendeletnek megfelelő egyéb uniós jogi aktusok vagy nemzeti jog alkalmazásában gyűjtött adatok megőrzési idejének sérelme nélkül a kötelezett szolgáltatóknak az ötéves időszak lejártakor törölniük kell a személyes adatokat.”
🙏 Köszönöm, hogy tárgyilagosan, érzelemmentesen állsz hozzá a témához, és a Revolut előnyök között elolvastad ezt is, ami most nem éppen egy előnyről szólt. Óriási problémának látom ezekben a folyamatokban tulajdonképpen a dependenciákat is. Hiszen, ahogy írtam a PEC esetében az Olasz Állam csupán a szabványt teremtette meg. De nem is igen tud közvetlen rálátással bírni, a jogosult alkalmazottak hozzáférési habitusára. Ahogy, a túlzott KYC mánia is, a jövőben több kárt teremthet a potenciális adatvédelmi incidens miatt.
👋 De hát, rojtosra beszélhetem én a szám, hogy szimplán blokkláncon DeFi alapon, adatvédelem tekintetében – ha jól őrizzük a privát kulcsunkat – sokkal biztonságosabb minden. 😉
📣 Ha megosztanád írásom ⬇️
A világ globális működését feltérképező, s annak összefüggéseit megérteni óhajtó generalista vagyok. Célom nem más, mint az ismeretterjesztés.
