Symantec i jego drobne kłamstewka

Symantec to firma robiąca porządne produkty. Fakt, miała swój gorszy okres, a aplikacje Norton Internet Security nie tak dawno temu były symbolem ociężałości i fuszerki, tak od pewnego czasu wszystko wróciło do normy. Od wersji 2011 to zdecydowanie jedne z najlepszych produktów na rynku. Nie tylko są skuteczne, co potwierdziło wiele testów, ale też są lekkie, banalne w obsłudze i nie dręczą użytkownika miliardem pytań pod tytułem „ta aplikacja mi się nie podoba, co mam zrobić?”.

Symantec zaliczył jednak niedawno wielką wpadkę, głównie wizerunkową. Wszystko zaczęło się od hinduskiej grupki hakerów The Lords of Dharmaraja, którzy stwierdzili, że mają dostęp do kodu źródłowego kilku aplikacji firmy Symantec, głównie marki Norton. Nie byli gołosłowni: umieścili fragmenty kodu aplikacji Norton Antivirus Corporate Edition.

Symantec zareagował błyskawicznie. Stwierdził, że faktycznie jest to kod źródłowy jego aplikacji. Dodał jednak, że pochodzi on z wersji 2006, a więc bardzo starej. Nowe antywirusy Norton zostały napisane praktycznie od zera. Klienci więc nie mają się czego obawiać. Co więcej, kod został wykradziony z „serwera firmy trzeciej”, za co Symantec odpowiadać nie może. I sprawa, być może, przycichłaby, gdyby nie determinacja kilku hakerów i internautów.

Przeprowadzili oni własne śledztwo i przekazali jego wyniki redakcji Reuters.com do zweryfikowania. Ta, by zachować rzetelność, przycisnęła do muru przedstawicieli firmy Symantec. Jak się okazało, kod nie wyciekł od żadnej firmy trzeciej. Włamanie miało miejsce w 2006 roku, a jego ofiarą padły serwery firmy Symantec. Czyli przyznaliśmy się właśnie do pierwszego kłamstwa. Co więcej, twórcy Nortona przyznali, że nie mają pojęcia jak do kradzieży danych właściwie doszło. Przyznali, że skradziono kod źródłowy aplikacji Norton Antivirus Corporate Edition, Norton Internet Security, Norton Utilities, Norton GoBack i pcAnywhere.

Symantec zapewnił raz jeszcze, że kod źródłowy dotyczy wyłącznie starych, nieaktualnych produktów, więc nie mamy się czego obawiać. Dodał tylko, mimochodem, że może być pewien problem z pcAnywhere. Jest on jednak niegroźny (cytując dosłownie: „slight issue”), a sama firma zapewniła, że podjęła już odpowiednie kroki, by poinformować użytkowników pcAnywhere (sprzedawany zarówno jako osobny produkt, jak i jako darmowy dodatek do większych pakietów zabezpieczających) o sposobie zabezpieczenia aplikacji. Jak się okazało, Symantec nie wyciągnął lekcji z poprzedniej wpadki.

Okazało się, że firma ponownie rozminęła się z prawdą. Tym razem jednak nie czekała, aż ktoś ją przyciśnie i wystosowała oświadczenie na swojej stronie internetowej. Informuje w nim, że osoby, które zakupiły pcAnywhere są „pod zwiększonym ryzykiem” kradzieży danych ze swoich komputerów. Co więcej, usterka nie jest „niegroźna”. Nie dotyczy też „starych wersji”, ale również i najnowszych. Jest na tyle poważna, że twórcy aplikacji rekomendują natychmiastowe jej wyłączenie do czasu opublikowania stosownej aktualizacji. Nie wiadomo, kiedy takowa ma się ukazać.

Symantec nie jest producentem gier wideo. Nie tworzy odtwarzaczy muzycznych ani edytorów tekstu. To firma, której płacimy w zamian za zapewnienie nam ochrony. Jest ona za to odpowiedzialna. Rozumiem jednak okazjonalne wpadki. Bardzo ciężko zbudować aplikację, która działa zawsze bezbłędnie i nie jest podatna na luki bezpieczeństwa. Aplikacje takich firm, jak Symantec, Eset, Kaspersky czy innych powinny być szczególnie dobrze zabezpieczone. Tym niemniej: zdarza się. Wtedy należy prędko przeprosić, niezwłocznie skontaktować się z klientami, poinformować ich o problemie, zapewnić ich, że aktualizacja pojawi się w trybie pilnym, a najlepiej jeszcze zaproponować jakiś rabat. Wtedy może klient zaufania nie straci. Tymczasem jeżeli firma, której płacę za bezpieczeństwo moich danych, kręci, kombinuje i zataja sytuację, to jak mogę jej zaufać?

Maciek Gajewski jest dziennikarzem, współprowadzi dział aktualności na Chip.pl, gdzie również prowadzi swojego autorskiego bloga.