HDPA идентифицира повече от 350 SMS съобщенията с кратък текст и връзка към фалшив уебсайт
Гръцкият надзорен орган за защита на данните (HDPA) започна от края на юли 2022 г. служебно разследване във връзка с дейностите по инсталиране и използване на шпионски софтуер в Гърция, по-специално във връзка със софтуера за наблюдение, наричан „Predator“.
По време на разследването са обединени жалбите-сигнали, подадени от пет физически лица, пише в сайта на надзорния орган.
Компетентността на HDPA в такива случаи произтича както от Общия регламент относно защитата на данните (GDPR), така и от специалното законодателство (e-privacy) за защита на личните данни в електронните услуги. По-специално, дейностите по инсталиране и използване на софтуер за наблюдение на мобилните телефони на потребителите, без тяхно знание, представляват нарушение на съответното законодателство (член 4, параграф 5 от Закон 3471/2006, както е изменен и в сила ‒ въпросният закон транспонира Директива 2002/58/ЕО в националното законодателство след нейното изменение с Директива 2009/136/ЕО), докато всяко последващо събиране и обработка на лични данни, които се събират от такъв софтуер, попада в обхвата на GDPR, доколкото събраните данни са свързани с действията на абонат или потребител на физическо лице (субект на данни).
HDPA създава разследващ екип за въпросния случай и предприема конкретни действия въз основа на констатациите от своето разследване, които включват издаване на временни заповеди за спиране на изтриването на лични данни, провеждане на разследвания и проверки на място на частни компании и публични органи, събиране на данни и информация от компании и органи във и извън Гърция (като например от Националния орган за прозрачност (EAD), Независимия орган за публични приходи (AADE), Citizen Lab, Google, Meta, компании, предоставящи услуги за изпращане SMS съобщения през интернет, фирми, предоставящи уеб хостинг услуги), издаване на решение за налагане на глоба на едно от одитираните дружества, поради неоказване на съдействие на Органа, и информиране на органите на прокуратурата за констатациите в съответния момент на установяването им.
На 26.01.2023 г. писах, че Гръцкият надзорен орган глоби Intellexa AE с 50 000 евро за отказ от сътрудничество.
Въз основа на доказателствата до момента е установено, че са правени опити за инсталиране на шпионски софтуер на множество потребители на мобилни телефони в Гърция. Такъв опит се прави чрез изпращане на SMS съобщение до мобилния телефонен номер на мишената. SMS съобщенията от този вид съдържат кратък текст и връзка към уебсайт, което е подвеждащо, тъй като много наподобява истински уебсайт. Ако получателят на SMS съобщението активира връзката, съдържаща се в него чрез кликане, шпионският софтуер е инсталиран на неговото устройство. SMS съобщенията са изпратени чрез уеб услуги (Web to SMS) с помощта на предплатени карти.
Надзорният орган отбелязва, че в тези SMS съобщения данните на подателя са променени и не съответстват на истинския подател, за да подмамят получателя си да активира съдържащата се връзка към уебсайта и по този начин да инсталира шпионския софтуер.
По време на своите разследвания HDPA идентифицира повече от 350 SMS съобщения, свързани с горните опити, от които повече от 220 съдържат подвеждаща уеб връзка. Смята се, че над 120 съобщения са били изпратени с цел тестване до неидентифицирани телефони (“burner phones”). Надзорният орган вече е изпратил подробна информация до абонатите и ползвателите на 92 телефонни номера, получили SMS с горните характеристики.
Малък брой SMS съобщения изглежда са свързани с електронното заявление за ваксиниране на гръцкото правителство. Одитен екип на HDPA е извършил проверка на въпросното приложение, която установява, че тези подвеждащи съобщения в крайна сметка не са изпратени от това приложение. Проучвайки наличните данни, надзорният орган установява, че няма случай на нарушаване на данните (изтичане) от официалните органи, управляващи процеса на ваксиниране.
HDPA е информирал и ще продължи да информира прокуратурата за констатациите от своето разследване, докато то продължава. На този етап надзорният орган не разполага с данни, от които би било възможно да се идентифицира конкретен администратор (физическо или юридическо лице) за дейностите по инсталиране и използване на разследвания шпионски софтуер, но посочва, че както неговите разследвания, така и проверката по делото, все още продължават.
Освен това HDPA, в рамките на правомощията си, произтичащи от GDPR, е започнал процедури за сътрудничество с надзорните органи на други държави членки за разследване на случая, пише надзорният орган в сайта си през юли.