Σύμφωνα με νομικούς και πρώην ομοσπονδιακούς αξιωματούχους, μια εκρηκτική αποκάλυψη πληροφοριοδοτών από τον πρώην επικεφαλής ασφαλείας του Twitter αυτή την εβδομάδα εκθέτει την εταιρεία σε νέες ομοσπονδιακές έρευνες και ενδεχομένως δισεκατομμύρια δολάρια σε πρόστιμα, αυστηρότερες ρυθμιστικές υποχρεώσεις ή άλλες κυρώσεις από την κυβέρνηση των ΗΠΑ.
Το Twitter αντιμετωπίζει τεράστιους νομικούς κινδύνους που απορρέουν από την αποκάλυψη του πληροφοριοδότη από τον Peiter "Mudge" Zatko, ο οποίος ισχυρίζεται σε αποκάλυψη σχεδόν 200 σελίδων στις αρχές ότι η εταιρεία είναι γεμάτη ελαττώματα ασφάλειας πληροφοριών — και ότι σε ορισμένες περιπτώσεις τα στελέχη της έχουν παραπλανήσει το διοικητικό συμβούλιο της και το κοινό σχετικά με τον όρο της εταιρείας, εάν δεν διαπράττεται απάτη.
Το Twitter κατηγόρησε τον Zatko, ο οποίος εργαζόταν στην εταιρεία από τον Νοέμβριο του 2020 έως ότου απολύθηκε αυτόν τον Ιανουάριο για κακή απόδοση, ότι προωθεί «μια ψευδή αφήγηση σχετικά με το Twitter και τις πρακτικές απορρήτου και ασφάλειας δεδομένων μας που είναι γεμάτη ασυνέπειες και ανακρίβειες και στερείται σημαντικού πλαισίου». Ο Zatko είναι ένας πολύ γνωστός ειδικός στον τομέα της κυβερνοασφάλειας με εμπειρία σε ανώτερους ρόλους στη Google, τη Stripe και το Υπουργείο Άμυνας. Η αποκάλυψη του πληροφοριοδότη αναφέρθηκε για πρώτη φορά από το CNN και την Washington Post την Τρίτη.
Συμμόρφωση με διακανονισμό απορρήτου της FTC του 2011
Στην αποκάλυψή του στην κυβέρνηση των ΗΠΑ, ο Zatko ισχυρίζεται ότι το Twitter έχει «εξαιρετικές ελλείψεις» στη στάση του στον κυβερνοχώρο, παραπλάνησε σκόπιμα τις ρυθμιστικές αρχές σχετικά με το χειρισμό των δεδομένων χρηστών και ότι η εταιρεία δεν τηρεί τις υποχρεώσεις της βάσει Διακανονισμός απορρήτου 2011 με την Ομοσπονδιακή Επιτροπή Εμπορίου — μια νομικά δεσμευτική εντολή που απαιτεί, μεταξύ άλλων, τη δημιουργία «εύλογων διασφαλίσεων» για την προστασία των προσωπικών πληροφοριών των χρηστών. Η FTC αρνήθηκε να σχολιάσει την αποκάλυψη.
Η καταδικαστική αποκάλυψη του Zatko ισχυρίζεται ότι περίπου οι μισοί υπάλληλοι του Twitter, συμπεριλαμβανομένων όλων των μηχανικών του, έχουν υπερβολική εσωτερική πρόσβαση στο ζωντανό προϊόν της εταιρείας, γνωστό εντός της εταιρείας ως «παραγωγή», μαζί με πραγματικά δεδομένα χρηστών. Ισχυρίζεται επίσης ότι η εταιρεία δεν έχει την ικανότητα να αμυνθεί από εμπιστευτικές απειλές, ξένες κυβερνήσεις και τυχαίες διαρροές δεδομένων.
«Μια θεμελιώδης αρχή μηχανικής και ασφάλειας είναι ότι η πρόσβαση σε ζωντανά περιβάλλοντα παραγωγής θα πρέπει να περιοριστεί όσο το δυνατόν περισσότερο», αναφέρει η αποκάλυψη. «Αλλά στο Twitter, οι μηχανικοί κατασκεύασαν, δοκίμασαν και ανέπτυξαν νέο λογισμικό απευθείας στην παραγωγή με πρόσβαση σε ζωντανά δεδομένα πελατών και άλλες ευαίσθητες πληροφορίες στο σύστημα του Twitter».
Ο πληροφοριοδότης του Twitter ισχυρίζεται απερίσκεπτες και αμελείς πολιτικές κυβερνοασφάλειας
Το Twitter είπε στο CNN ότι το ρεκόρ συμμόρφωσης της FTC μιλάει από μόνο του, επικαλούμενος ελέγχους τρίτων που κατατέθηκαν στην υπηρεσία βάσει της εντολής συναίνεσης του 2011. Το Twitter πρόσθεσε ότι συμμορφώνεται με τους σχετικούς κανονισμούς απορρήτου και ότι ήταν διαφανής με τις ρυθμιστικές αρχές σχετικά με τις προσπάθειές του να διορθώσει τυχόν ελλείψεις στα συστήματά του. Ο Ζάτκο δεν συμμετείχε στο ελεγκτικό έργο και δεν κατανόησε πλήρως τις υποχρεώσεις FTC του Twitter ή τον τρόπο με τον οποίο η εταιρεία τις εκπλήρωνε, ανέφερε το Twitter.
Η αποκάλυψη ισχυρίζεται ότι το προσωπικό του Zatko ήταν «εξοικειωμένο» με τα ζητήματα του Twitter ενώπιον της FTC και ότι αυτοί ήταν που είπαν στον Zatko ότι το Twitter δεν ήταν ποτέ σε συμμόρφωση με την εντολή του 2011, ούτε σε καλό δρόμο να συμμορφωθεί.
«Είμαστε απόλυτα πιστοί στο περιεχόμενο της αποκάλυψης του Mudge», είπε στο CNN ο John Tye, δικηγόρος του Zatko και ιδρυτής της Whistleblower Aid, της οργάνωσης που τον εκπροσωπεί.
Ο Ζάτκο μπορεί να είναι επιλέξιμος για χρηματικό βραβείο από την κυβέρνηση των ΗΠΑ ως αποτέλεσμα των δραστηριοτήτων του ως καταγγέλλοντας. «Πρωτότυπες, έγκαιρες και αξιόπιστες πληροφορίες που οδηγούν σε επιτυχή ενέργεια επιβολής» από την SEC μπορούν να αποφέρουν στους καταγγέλλοντες μείωση έως και 30% των προστίμων της υπηρεσίας που σχετίζονται με την ενέργεια, εάν οι κυρώσεις υπερβαίνουν το 1 εκατομμύριο δολάρια, είπε η SEC. Η SEC έχει απονείμει περισσότερα από 1 δισεκατομμύριο δολάρια σε περισσότερους από 270 καταγγέλλοντες από το 2012.
Ο Ζάτκο υπέβαλε την αποκάλυψή του στην Επιτροπή Κεφαλαιαγοράς «για να βοηθήσει την υπηρεσία να επιβάλει τους νόμους» και να κερδίσει ομοσπονδιακή προστασία από τους καταγγέλλοντες, είπε ο Τάι. «Η προοπτική μιας ανταμοιβής δεν ήταν παράγοντας στην απόφαση του Mudge και στην πραγματικότητα δεν ήξερε καν για το πρόγραμμα επιβράβευσης όταν αποφάσισε να γίνει νόμιμος πληροφοριοδότης».
Η αποκάλυψη του whistleblower έρχεται μήνες μετά την FTC διατύπωσε τους δικούς της ισχυρισμούς ότι το Twitter έκανε κατάχρηση πληροφοριών ασφαλείας λογαριασμού για διαφημιστικούς σκοπούς κατά παράβαση της εντολής του 2011. Κελάδημα συμφώνησε να πληρώσει 150 εκατομμύρια δολάρια τον Μάιο για την επίλυση αυτών των αξιώσεων, σε έναν δεύτερο διακανονισμό της FTC.
Τώρα, η αποκάλυψη του Zatko εγείρει την προοπτική μιας ακόμη πιθανής παραβίασης των δεσμεύσεων FTC του Twitter - μια εξαιρετικά επικίνδυνη θέση για μια εταιρεία και τα στελέχη της, σύμφωνα με τον Jon Leibowitz, ο οποίος ήταν πρόεδρος της FTC την εποχή του διακανονισμού του Twitter το 2011.
«Εάν τα γεγονότα είναι αληθινά, θα συνιστούσαν παραβιάσεις της εντολής και του νόμου FTC – και αυτό θα έκανε το Twitter τρεις φορές χαμένο», είπε ο Leibowitz στο CNN σε συνέντευξή του. «Δεν θα υπήρχε λόγος για την FTC να μην τους πετάξει το βιβλίο». Φυσικά, πρόσθεσε ο Leibowitz, η FTC θα πρέπει πρώτα να διεξαγάγει ενδελεχή έρευνα για να διαπιστώσει η ίδια εάν έχει σημειωθεί νέα παραβίαση.
Ο γερουσιαστής Ρίτσαρντ Μπλούμενταλ, πρόεδρος της υποεπιτροπής της Γερουσίας για την προστασία των καταναλωτών και πρώην γενικός εισαγγελέας του Κονέκτικατ, δήλωσε σε δήλωση την Τρίτη ότι οι αποκαλύψεις του Ζάτκο «αποκαλύπτουν ότι η ευθύνη για τις αστοχίες ασφάλειας του Twitter ανήκει σε εκείνους που βρίσκονται στην κορυφή».
Περαιτέρω προέτρεψε την FTC σε επιστολή της να διερευνήσει τους ισχυρισμούς, λέγοντας ότι οι αξιωματούχοι θα πρέπει να επιβάλουν πρόστιμο και να θέσουν προσωπικά υπόλογα τα στελέχη του Twitter εάν διαπιστωθεί ότι ευθύνονται για παραβιάσεις του νόμου FTC ή της εντολής συναίνεσης του Twitter. Η ίδια η αξιοπιστία της FTC είναι στο όριο, είπε ο Blumenthal στην επιστολή, η οποία εστάλη επίσης στην FTC την Τρίτη.
«Εάν η Επιτροπή δεν επιβλέπει και δεν επιβάλλει σθεναρά τις εντολές της, δεν θα ληφθούν σοβαρά υπόψη και αυτές οι επικίνδυνες παραβιάσεις θα συνεχιστούν», έγραψε ο Blumenthal.
«Τα πράγματα έγιναν ουσιαστικά χειρότερα»
Σύμφωνα με το καταστατικό της, η FTC είναι εξουσιοδοτημένη να διώκει «άδικες ή παραπλανητικές επιχειρηματικές πράξεις και πρακτικές». Στην εποχή του Διαδικτύου, αυτό σήμαινε όλο και περισσότερο να κυνηγάμε εταιρείες που ισχυρίζονται ότι προστατεύουν τις ψηφιακές πληροφορίες των καταναλωτών, αλλά που στην πραγματικότητα αποτυγχάνουν να ανταποκριθούν στις δημόσιες αξιώσεις τους ή να παραποιούν αυτές τις προστασίες.
Ο αρχικός διακανονισμός του Twitter το 2011 προέκυψε από δύο υποτιθέμενα περιστατικά όπου οι χάκερ μπόρεσαν να παραβιάσουν τους αδύναμους κωδικούς πρόσβασης των εργαζομένων και να κάνουν κατάχρηση της πρόσβασής τους για να καταλάβουν λογαριασμούς Twitter και να κατασκοπεύσουν προσωπικές πληροφορίες, παρά τις δημόσιες δηλώσεις του Twitter για τη διαφύλαξη του απορρήτου και της ασφάλειας των χρηστών.
Ο διακανονισμός του Twitter δεν ήταν παραδοχή αδικήματος. Αλλά απαιτείται Το Twitter θα δημιουργήσει «ένα ολοκληρωμένο πρόγραμμα ασφάλειας πληροφοριών που είναι εύλογα σχεδιασμένο για να προστατεύει την ασφάλεια, το απόρρητο, το απόρρητο και την ακεραιότητα των μη δημοσίων πληροφοριών καταναλωτών» — μια δέσμευση που ισχυρίζεται ο Zatko δεν τηρήθηκε ποτέ.
Ως μέρος της τελευταίας διευθέτησης FTC φέτος, το Twitter δεσμεύτηκε σε ακόμη πιο λεπτομερείς υποχρεώσεις κυβερνοασφάλειας, συμπεριλαμβανομένης της ύπαρξης «πολιτικών πρόσβασης και ελέγχων» για όλες τις βάσεις δεδομένων που περιέχουν δεδομένα χρηστών, καθώς και για συστήματα που είτε παρέχουν στους υπαλλήλους πρόσβαση σε λογαριασμούς Twitter είτε διαθέτουν πληροφορίες που «επιτρέπει ή διευκολύνει» την πρόσβαση σε εσωτερικά συστήματα Twitter. Αυτές οι υποχρεώσεις ισχύουν ήδη μετά την υπογραφή της απόφασης από τον δικαστή αυτή την άνοιξη, ενισχύοντας περαιτέρω την πιθανή νομική έκθεση για το Twitter.
Παρά τις αυξανόμενες ρυθμιστικές απαιτήσεις του Twitter, ο Zatko ισχυρίζεται ότι δεν έχουν αλλάξει πολλά στην εταιρεία από την αρχική καταγγελία της FTC πριν από περισσότερο από μια δεκαετία.
«Τα πράγματα έγιναν ουσιαστικά χειρότερα», ισχυρίζεται η αποκάλυψή του στο Κογκρέσο. Η αποκάλυψη ισχυρίζεται ότι ακόμη και όταν το Twitter διαπραγματευόταν ενεργά τον δεύτερο διακανονισμό με την FTC πέρυσι, η εταιρεία, σε ένα εντελώς ξεχωριστό περιστατικό, επέτρεψε την επανάληψη του ίδιου τύπου κατάχρησης δεδομένων για διαφημιστικούς σκοπούς.
Σε απάντηση σε περισσότερες από 50 συγκεκριμένες ερωτήσεις από το CNN σχετικά με την αποκάλυψη, το Twitter δεν απάντησε στον ισχυρισμό του Ζάτκο σχετικά με αυτό το περιστατικό. Αναγνώρισε ότι οι ομάδες μηχανικών και προϊόντων της μπορούν να έχουν πρόσβαση στο ζωντανό περιβάλλον παραγωγής του Twitter, υπό την προϋπόθεση ότι έχουν συγκεκριμένη επιχειρησιακή αιτιολόγηση, προσθέτοντας ότι τα μέλη άλλων τμημάτων — όπως οικονομικά, νομικά, μάρκετινγκ, πωλήσεις, ανθρώπινοι πόροι και υποστήριξη — δεν μπορούν. Το Twitter είπε επίσης στο CNN ότι οι υπολογιστές των εργαζομένων ελέγχονται αυτόματα για να διαπιστωθεί αν είναι ενημερωμένοι και όσοι αποτυγχάνουν στους ελέγχους δεν μπορούν να συνδεθούν στην παραγωγή.
Δυνατότητα για νέο οικισμό ή κοστούμι
Το διακύβευμα της αποκάλυψης μπορεί να είναι εξαιρετικά σημαντικό. Μια διαπίστωση της FTC ότι το Twitter παραβίασε την παραγγελία του για τρίτη φορά θα μπορούσε να οδηγήσει στις πιο σκληρές ποινές που έχει επιβάλει ποτέ η υπηρεσία στην εταιρεία. Επί του παρόντος, η FTC προεδρεύει επίσης από τη Lina Khan, a φωνητικά σκεπτικιστής για τις τεχνολογικές πλατφόρμες και αυτού που αποκαλεί βιομηχανία «εμπορικής επιτήρησης» που επωφελείται από τους χαλαρούς εθνικούς κανόνες περί απορρήτου. Υπό τον Khan, η FTC εξετάζει το ενδεχόμενο σύνταξης σαρωτικούς νέους κανονισμούς απορρήτου που θα μπορούσαν να επηρεάσουν άμεσα εταιρείες σε ολόκληρη την οικονομία, συμπεριλαμβανομένου του Twitter, και τον τρόπο με τον οποίο συλλέγουν, χρησιμοποιούν και μοιράζονται προσωπικά δεδομένα.
Σε περίπτωση που η FTC καταλήξει σε παραβίαση, θα έχει δύο βασικές επιλογές για να λογοδοτήσει το Twitter, λένε πρώην αξιωματούχοι της υπηρεσίας. Θα μπορούσε να επιδιώξει έναν τρίτο διακανονισμό με την εταιρεία ή θα μπορούσε να μηνύσει το Twitter για τις υπάρχουσες εντολές συναίνεσης και να ζητήσει από το δικαστήριο τις κατάλληλες κυρώσεις.
Σε περίπτωση διακανονισμού, η FTC θα μπορούσε ακόμη και να επιδιώξει να κατονομάσει μεμονωμένα στελέχη - θεωρώντας τα προσωπικά υπόλογα και αναγκάζοντάς τα να αποδεχτούν υποχρεώσεις για τη δική τους συμπεριφορά για τις οποίες θα μπορούσαν να θεωρηθούν υπεύθυνοι εάν αυτοί ή η εταιρεία παραβιάσουν ξανά την εντολή.
Εάν αποδειχθεί ότι το Twitter παραβίασε τις νομικές του υποχρεώσεις, είπε ο Leibowitz, η FTC θα πρέπει «να εξετάσει πολύ σοβαρά το ενδεχόμενο να βάλει τα στελέχη που ευθύνονται σε τάξη».
Η απλή απειλή να κατονομαστούν μεμονωμένα στελέχη μπορεί να είναι αποτελεσματική, πρόσθεσε. Κατά τη διάρκεια της θητείας του ως προέδρου της FTC, ο Leibowitz θυμάται: «Δεν μπορώ να σας πω πόσοι CEOs ήρθαν στο γραφείο μου λέγοντας: «Παρακαλώ μην με κατονομάσετε. Απλώς δεν θέλω να κατονομάζομαι. Δεν με πειράζει να πληρώσω περισσότερα χρήματα. Δεν με πειράζει αν η εταιρεία μου τεθεί υπό ισχυρότερη εντολή. Αλλά απλά δεν θέλω να κατονομάζομαι.»
Η Μέγκαν Γκρέι, πρώην δικηγόρος επιβολής της FTC που έχει εργαστεί σε μερικές από τις μεγαλύτερες υποθέσεις απορρήτου της υπηρεσίας, είπε ότι τα εργαλεία που έχει στη διάθεση της η FTC είναι πολλά. (Το CNN μίλησε στον Γκρέι πριν δημοσιοποιηθούν οι ισχυρισμοί του Ζάτκο και χωρίς να αποκαλύψει την ύπαρξή τους, και στη συνέχεια ξανά την Τρίτη αφού το CNN και η Washington Post ανέφεραν την αποκάλυψη του Ζάτκο.)
«Κλιμάκωση των προστίμων, περισσότερες αναφορές συμμόρφωσης, πιο αναλυτικοί έλεγχοι και περιορισμοί στις δραστηριότητές τους», είπε ο Γκρέι, σημειώνοντας μια λίστα επιλογών. "Ή απαίτηση να λαμβάνετε διαφημίσεις προεγκεκριμένες από το πρακτορείο ή να τις εξαιρείτε από ορισμένους τύπους συναλλαγών."
Ένας οργανισμός που χρειάζεται περισσότερα εργαλεία για να κρατήσει τις εταιρείες υπεύθυνες
Το Twitter ανέφερε τους ελέγχους τρίτων ως απόδειξη ότι έχει υποστηρίξει τις δεσμεύσεις του για την FTC. Ωστόσο, γενικά, ο τρόπος με τον οποίο οι απαιτήσεις ελέγχου της FTC συχνά λειτουργούν στην πράξη μπορεί να αφήσει τις εταιρείες να ξεκολλήσουν πολύ εύκολα, είπε ο Γκρέι.
Για παράδειγμα, πολλές εντολές της FTC είναι γραμμένες αρκετά ευρέως ώστε να επιτρέπουν σε μια εταιρεία να εκπληρώσει τις υποχρεώσεις της με βάση, μεταξύ άλλων, «βεβαιώσεις» ότι συμμορφώνονται - μια ροζ υπόσχεση, είπε ο Γκρέι στο CNN. Στις αναφορές προς την FTC, οι εταιρείες που διενεργούν ελέγχους τρίτων μπορούν απλώς να πουν ή να αναφέρουν δηλώσεις της υπό έλεγχο εταιρείας ότι η εταιρεία συμμορφώνεται.
Από το 2011 έως το 2022, η εντολή συναίνεσης του Twitter με την FTC επέτρεπε την υποβολή εκθέσεων ελέγχου βάσει βεβαιώσεων. Στη συνέχεια, στον δεύτερο διακανονισμό της φέτος, η FTC έκανε πιο συγκεκριμένες τις απαιτήσεις ελέγχου, εμποδίζοντας τους τρίτους ελεγκτές του Twitter να βασίζονται «κυρίως» σε βεβαιώσεις από τη διοίκηση του Twitter.
Ακόμη και με αυτούς τους τύπους περιορισμών, εξακολουθούν να υπάρχουν λόγοι να είμαστε δύσπιστοι για τις εκθέσεις ελέγχου της FTC, είπε ο Γκρέι. Αυτό συμβαίνει επειδή οι ελεγκτές τρίτων δεν πληρώνονται από την FTC, αλλά από τις εταιρείες που ελέγχονται, είπε.
«Έτσι, τα κίνητρα είναι εντελώς άστοχα για τις ελεγκτικές εταιρείες», πρόσθεσε ο Γκρέι.
Το Twitter είπε στο CNN ότι οι έλεγχοι είναι μόνο ένα από τα προγράμματα απορρήτου και ασφάλειας που το Twitter πρέπει να εκπληρώσει τις υποχρεώσεις του στην FTC.
Πολλοί νυν και πρώην αξιωματούχοι της FTC, καθώς και αμερικανοί νομοθέτες και υποστηρικτές των καταναλωτών, πίεσαν να δοθούν στην FTC περισσότερα εργαλεία για την ανάληψη ευθύνης από τις επιχειρήσεις, ιδιαίτερα μετά το Ανώτατο Δικαστήριο πέρυσι κατεβείτε την ικανότητα του οργανισμού να αναζητήσει νομισματική ελάφρυνση υπό ορισμένες συνθήκες.
Ορισμένοι υποστηρικτές της αυστηρότερης εποπτείας έχουν ζητήσει, για παράδειγμα, επιτρέποντας στην FTC να εκδίδει πρόστιμα σε εταιρείες για παραβάσεις του νόμου FTC για πρώτη φορά. Επί του παρόντος, η FTC μπορεί γενικά να επιδιώκει μόνο την επιβολή αστικών κυρώσεων σε μια εταιρεία αφού έχει παραβιάσει προηγούμενο διακανονισμό.
Στην περίπτωση του Twitter, η διαπραγμάτευση μιας εντολής συναίνεσης για τρίτη φορά μπορεί να φαίνεται περίεργη, δήλωσε ένας άλλος πρώην αξιωματούχος της FTC, μιλώντας υπό τον όρο της ανωνυμίας, προκειμένου να μιλήσει πιο ειλικρινά. Αλλά σε περίπτωση που διαπιστώσει παραβίαση, και όπως σε κάθε περίπτωση, η FTC θα πρέπει να σταθμίσει τι πιστεύει ότι μπορεί να αποκτήσει από το Twitter μέσω ενός διακανονισμού έναντι του τι μπορεί να κερδίσει η υπηρεσία από ένα δικαστήριο.
Υπάρχουν κίνδυνοι για μακροχρόνιες, παρατεταμένες διαφορές, όπου ένα δικαστήριο μπορεί στην πραγματικότητα να επιδικάσει λιγότερο την FTC, είπε ο πρώην αξιωματούχος.
«Μερικοί άνθρωποι πιστεύουν ότι αυτές οι εντολές δεν είναι καθόλου τίποτα», είπε ο πρώην αξιωματούχος, «αλλά δεν είναι. Ίσως σε ορισμένες περιπτώσεις να είναι, και οι εταιρείες να μην τα παίρνουν στα σοβαρά. Αλλά σε πολλές περιπτώσεις το κάνουν, και η FTC μπορεί να προκαλέσει πολύ πόνο. Πολύς πόνος."
The-CNN-Wire™ & © 2022 Cable News Network, Inc., μια εταιρεία Discovery της Warner Bros. Ολα τα δικαιώματα διατηρούνται.
