Ritzau stævnet for industrispionage med lånt bruger-login

Hej René,

Kudos for nogle skarpe observationer. Det rammer meget godt.

Vi er godt klar over at sø- og handelsretten ikke er rundhåndet, men det er heller ikke vores begrundelse. Vi han se, at de i flere omgange har gennemgået al den funktionalitet som kunden har haft adgang til, hvordan vi har valgt at segmentere kontakter, hvordan man laver en presseudsendelse, tilføjer modtagere og behandler respons. Hvordan vores reach intelligence er bygget op osv.

Det er sket af mindst fire medarbejder, hvoraf mindst én er udvikler. Det har kostet ufatteligt mange timers arbejde at få det hele helt rigtigt, og vi frygter naturligvis at de vil udnytte deres viden om vores produkt i udviklingen af deres eget for dermed at begrænse vores forspring.

Vi har ikke kunne få oplyst hvem der har tilegnet sig den viden om vores produkt, eller formålet med det. Derimod har der været anvendt incognito browsing og de har forsøgt at slette deres spor, med det resultat at de ikke kan redegøre for hvad de har foretaget sig, mens vi har detaljerede viden om deres færden.

Vores ønske er at få klarlagt hvem der nu sidder med detaljeret viden om vores produkt, og forsøge at forhindre at de misbruger den. Derudover er der også et spørgsmål om retfærdighed. Skal man som dominerende spiller i et marked kunne slippe afsted med den slags? Det mener vi ikke.

Mvh Brian Palmund Udviklingschef, VOCAST

Hej Dan,

I vores system er en mediedatabase med kontakter, som kunder kan tegne et abonnement til. Derudover kan kunder indlæse egne kontakter. Ritzau har med kundens login eksporteret et stort antal kontakter fra vores mediedatabase, men stort set ikke rørt kundens egne kontakter.

Det login de har anvendt har ikke givet adgang til andre kunders data. Vi tager sikkerhed og persondata meget alvorligt. Vi går meget langt for at beskytte kunders data, og informationer om mediekontakter. Derfor har vi også en detaljeret log over alt hvad der fortages på vores system, og kunne relativt enkelt isolere alle de handlinger der blev udført af Ritzaus medarbejdere.

Vi har indhentet et personligt samtykke fra de kontakter der ligger i mediedatabasen. Vi har en række funktioner der gør, at kontakterne ikke bliver spammet igennem vores system, men den aftale der ligger i samtykket har vi svært ved at håndhæve, når en konkurrent har kopieret kontakternes data med henblik på at sende til dem fra en helt anden platform. Derfor er sagen også anmeldt til datatilsynet.

Mvh Brian Palmund Udviklingschef, VOCAST

Men det er ikke videre relevant, for ved hacking er det ikke et krav at man forcerer en modstand, men om man “har fået lov”. Og igen er parterne enige om Ritzau har brugt forsikringsselskabets login. Så Vocast har ikke givet Ritzau lov til at “kigge omkring”.

Nu må vi se hvad retten siger, men jeg tror at Ritzau bliver dømt, men jeg kan godt være i tvivl om erstatningsbeløbets størrelse. Selvom Ritzau er markedsleder forkommer beløbet højt.

Parterne er jo enige om at Ritzau har været inde i systemet. Uenigheden er alene om hvor længe og hvad de “taget”.

Men det er ikke videre relevant, for ved hacking er det ikke et krav at man forcerer en modstand, men om man “har fået lov”. Og igen er parterne enige om Ritzau har brugt forsikringsselskabets login. Så Vocast har ikke givet Ritzau lov til at “kigge omkring”.

Som jeg ser det, er det alene i spørgsmål om straffens udmålning og ikke om Ritzau bliver dømt.

Det som er interessant, er om retten personligt straffer de personer som udførte hackingen eller ikke.

I dette aktuelle tilfælde lugter anklagen om "spionage" mest som et markedsførings-stunt.

Det her lyder altså som en god gammeldags gang reverse engineering.

... i min omgang med datastuderende, hvordan data frit flød i alle retninger. Et par af dem vågnede brat op, da de senere som ansatte fik spørgsmål fra ledelsen - og og så måtte de holde op med at blive fælles klogere ved hjælp af givtigt modspil fra gamle kammerater. Heldigvis lever den slags nu videre i open source-miljøerne.

Naturligvis lyder det smådumt at kikke med hos konkurrenten direkte fra eget kontor, men en simpelt adgang som kunde burde ikke afsløre stort. Alle kikker da fortsat hinanden over skulderen alligevel, for at lære og blive klogere. I dette aktuelle tilfælde lugter anklagen om "spionage" mest som et markedsførings-stunt.

Vil det sige, at blot man har et login ved Vocast, så kan man uden videre lave "en metodisk og systematisk kortlægning af applikationens funktioner, opbygning, arkitektur og design. " Samt uden videre få "overført mailinglister, pressemateriale og andre mediedatabaser." Kan alle kunder ved Vocast se alle andre kunders data så? Virker ikke særligt betryggende !

Come on... Hvis du vidste hvor mange data, som flyder rundt:

Udveksling af login info (herunder administrator login), kopier af databaser (sendt med taxi og ej opkrævet NDA etc. ved udlevering), oprettelse af admin adgange ved opkald til IT afdelinger..

Og her ser vi bort fra indeksering af ALLE filer på diverse websites fra staten... så er det let nok at få adgang til data uden at hacke.

Så er man da lidt blåøjet hvis man giver et login med alt for meget tilgang til følsomme oplysninger?