Ministerstvo spravedlnosti tento týden omylem zpřístupnilo rodná čísla a neveřejné listiny v testovací
verzi modernizovaného portálu obchodního rejstříku, který veřejnosti poskytuje informace o právnických
osobách, údaje o vedení společností a povinně zveřejňované dokumenty. Zkušební verze, která byla až
do pátku dostupná veřejnosti, obsahovala programátorskou chybu, která způsobila, že portál při
vyhledávání osob ukazoval i neveřejné informace, konkrétně rodná čísla a kódy AIFO (neveřejný
identifikátor osoby využívaný v rejstřících).
Z pohledu bezpečnosti dat a zabezpečení systémů je stěžejní způsob, jakým data unikala. Rodné číslo sice
nebylo na webu na první pohled veřejné, ale bylo obsaženo přímo v odpovědi, kterou server při
vyhledávání osob zasílal zpět uživateli. Kdokoli se základními znalostmi fungování webových stránek tak
mohl tyto údaje snadno získat a rodná čísla vytěžovat i cíleně. Server také vykazoval chybu týkající se
rejstříku listin, která umožňovala neoprávněný přístup k neveřejným dokumentům. Veřejné dokumenty
měly přidělený číselný identifikátor určující pořadí dokumentu. Prostou změnou tohoto čísla se dalo
dostat k listinám, které nebyly určeny ke zveřejnění, jako jsou průvodní dopisy nebo interní soudní
potvrzení.
Tento incident představuje obrovské plošné riziko, jelikož mohl zasáhnout velké procento populace.
Otevřená data z obchodního rejstříku totiž obsahují osobní údaje necelých dvou milionů osob zapsaných
u společností a organizací. Zasaženi tak mohli být typicky jednatelé společností či předsedové spolků,
členové správních rad apod. Nejedná se bohužel o první případ tohoto druhu ve státní správě. Předloni
došlo k podobné situaci, kdy obdobným způsobem unikal objem osobních údajů lidí z pracovních
agentur. Na vině tehdy byl nevhodně nastavený systém spravovaný ministerstvem práce a sociálních věcí.
Po pátečním nahlášení chyb ministerstvo obratem testovací verzi rejstříku vyřadilo z provozu a přijalo
technická opatření k zamezení dalších nestandardních přístupů. Dosavadní oficiální stránky obchodního
rejstříku fungují i nadále bez omezení. Ministerstvo spravedlnosti informovalo Úřad pro ochranu
osobních údajů a Národní úřad pro kybernetickou a informační bezpečnost. Předmětem šetření je nyní
doba trvání chyby, její příčina, přesný rozsah zasažených osob a skutečnost, zda byla data reálně vytěžena.
Ministerstvo se zabývá i možnou odpovědností dodavatelské společnosti Asseco, bližší informace však
kvůli probíhajícímu šetření ministerstvo odmítlo sdělit.