Spora luka w programie Płatnik!

Cyfryzacja w wielu polskich urzędach została ciepło przyjęta przede wszystkim przez przedsiębiorców, którzy dzięki wygodnemu i nowoczesnemu rozwiązaniu była w stanie zaoszczędzić czas. Jak się jednak okazuje, wszystkie programy oraz aplikacje wciąż nie posiadają odpowiednich zabezpieczeń przesyłanych danych, a po wtóre – problem ochrony danych wrażliwych jest bagatelizowany. Najlepiej można to zobaczyć na przykładzie programu Płatnik, z którego korzystali przez ostatnie dwa lata przedsiębiorcy, a którego poważną lukę ZUS naprawiał okrągłe cztery miesiące, nie widząc większego zagrożenia ani nawet większej trudności.

Nie pierwsza wpadka ZUS-u

To już kolejny przypadek, w którym ZUS nie do końca wywiązał się z chronienia danych swoich klientów. Przed rokiem wykryto lukę, którą chętnie wykorzystywali poszukiwacze sensacji, rekruterzy, ale również wścibscy sąsiedzi. W zasadzie każdy mógł sprawdzić wysokość zarobków swoich znajomych czy poszczególnych osób osadzonych na takich czy innych stanowiskach. Tym razem, niedługo po tej wpadce, pojawiła się wiadomość o kolejnej – tym razem winny był system Płatnik.

Elektroniczne ułatwienie dla przedsiębiorców

W założeniu program Płatnik zajmuje się przesyłaniem dokumentów z firmy wprost do ZUS-u, co ma na celu zaoszczędzenie czasy właścicieli firm na staniu w kolejkach i załatwianiu spraw w tradycyjnym okienku. Z programu korzystają nie tylko sami przedsiębiorcy, ale również biura rachunkowe. Co ciekawe, luka w zabezpieczeniach pozwalała biurom rachunkowym na pobieranie danych w zasadzie dowolnych firm, nawet tych, których biuro nie obsługuje. W danych, jakie miały do swojej dyspozycji biura rachunkowe, znajdowały się między innymi: skrócona nazwa firmy, ale również numer PESEL właściciela firmy, dane teleadresowe, miejsce zamieszkania wraz z dokładnym adresem, adres korespondencyjny, informacje o biurze rachunkowym, z usług którego korzysta dany płatnik. Co więcej, żaden z przedsiębiorców, których dane zostały pobrane, nie miał o tym zielonego pojęcia, nie miał więc ani szans, ani okazji odpowiednio zareagować.

Kompletny brak kontroli

Jak się okazuje, ZUS w ogóle w żaden sposób nie panuje, ani nie sprawdza, kto, kiedy, ani w jakim celu pobiera dane podatników. Nie wiadomo więc, czy dane znajdujące się w serwisie były przez innych pobierane, przeglądane, ani w jaki sposób zostały wykorzystane. ZUS twierdzi, że odpowiednim zabezpieczeniem był elektroniczny podpis, ten jednak w praktyce niczego nie załatwiał ani nie zapewniał bezpieczeństwa.