What changed

…………………………………………………………………………………………………………………………………………………………................ 1055 Budapest Tel.: +36 1 391-1400 naih.hu/adatkezelesi-tajekoztatok Falk Miksa utca 9-11. KR ID: 429616918 ugyfelszolgalat@naih.hu

1.

kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendelet (a továbbiakban: általános adatvédelmi rendelet vagy GDPR) 32. cikk (1) bekezdés b) pontját, továbbá ezen cikk (2) bekezdését. 2.

(12) Ügyfél2 a következő intézkedéseket tette az incidens orvoslása érdekében az incidensbejelentés szerint: azon biztonsági hibát, amelyet a támadók kihasználtak 9 órával a tudomásszerzést követően megszüntette, úgy, hogy a tűzfal szabályok módosításával az API már csak a belső hálózaton volt elérhető. Ügyfél2 a rendőrségen feljelentést tett az adatvédelmi incidenssel összefüggésben. Ezen felül az incidens-bejelentés időpontjában már tervezte, hogy arról tájékoztatja az érintetteket az általános adatvédelmi rendelet 34. cikkének megfelelően.

5 A tűzfal (angolul firewall) célja a számítástechnikában annak biztosítása, hogy a használt hálózaton keresztül egy adott számítógépbe ne történhessen illetéktelen behatolás. A tűzfal olyan hálózati biztonsági rendszer, amely felügyeli és szabályozza a bejövő és kimenő hálózati forgalmat előre meghatározott biztonsági szabályok alapján. A tűzfal jellemzően akadályt képez egy megbízható belső hálózat és egy bizonytalan külső hálózat (pl. a nyílt internet) között.

(18) Az incidens okainak vizsgálata során feltárt körülmények alapján arra jutott Ügyfél2, hogy a költözés előkészítésekor a hibás tűzfalbeállítások eredményeképpen olyan port9 is megnyitásra került, amelyet nem kellett volna megnyitni. Ezen keresztül lehetett időlegesen elérni az érintett szervert, ez tette lehetővé a külső elérések nem megfelelő szűrését. Az, hogy a költöztetéshez kapcsolódóan milyen portok vannak nyitva, ennek ellenőrzése az Ügyfél2 vállalkozójának, Ügyfél1-nek volt a felelőssége. Összességében tehát Ügyfél2 szerint a használt alkalmazásban lévő autentikációs szolgáltatás bekapcsolása maradt el a költözés előkészítése során, ami így lehetővé tette a szerverek rosszindulatú támadó általi külső elérését.

8 Az IP-cím egy numerikus egyedi hálózati azonosító, amelyet az internet segítségével kommunikáló számítógépek egymás azonosítására használnak. Az IP-címek két fő funkciót látnak el: a hálózati interfész azonosítását és a helycímzést. Fő célja, hogy az internetre csatlakozott számítógépek, telefonok és egyéb eszközök megkülönböztethetők legyenek a digitális térben más eszközöktől vagy hálózatoktól.

14 C2C: customer-to-customer angol kifejezés rövidítése. Magánszemélyek közötti üzleti kapcsolatot jelent, ahol az egyik fogyasztó elad, a másik pedig vásárol.

NAIH-7395-3/2025. számú végzésével Ügyfél2-nek, és egyidejűleg NAIH-7395-4/2025. számú végzésével Ügyfél1-nek azzal, hogy arra nyilatkozatot, észrevételt, indítványt tehetnek. Erre Ügyfél1 részéről nem érkezett nyilatkozat a megszabott határidőn belül.

19 Lásd Ügyfél2 a Hatóságnak 2024. 01. 18-án ePapíron küldött válaszának szövegét és az ahhoz csatolt nyilatkozat 6. pontját.

## I. Ügyfél1 egy magatartásával (biztonsági beállítások ellenőrzésének elmulasztása) egy

Dr. habil. Péterfalvi Attila elnök, c. egyetemi tanár