“Kontoen var hacket” som indsigelse

En besked, et opslag eller en mail bliver fremlagt, og modparten svarer: Det var ikke mig, min konto var hacket. Indsigelsen er let at fremsætte og svær at afvise uden data. Kontoovertagelser sker, og det er en reel mulighed. Men en uvedkommende adgang efterlader typisk spor, og fraværet af dem er også et spor.

Påstanden om en uvedkommende udefra er forskellig fra påstanden om, at en anden med lovlig adgang til en delt enhed skrev beskeden. Den situation er beskrevet i Hvem skrev beskeden?.

Hvad en kontoovertagelse plejer at efterlade

Det varierer mellem tjenester, men en uvedkommende adgang efterlader ofte et eller flere af disse spor:

Sikkerhedsmeddelelser til kontoens ejer, fx en mail eller en notifikation om nyt login, ny enhed eller ændret adgangskode.
Loginhistorik med tidspunkter, IP-adresser og enhedstyper, der ikke passer med ejerens egne enheder. → Sådan læser du en logfil
En ny forbundet enhed i kontoens indstillinger.
Ændringer i kontoen: ny adgangskode, ny mailadresse, slået totrinsbekræftelse fra, nye regler for videresendelse.
Anden aktivitet i samme periode, fx beskeder til mange modtagere, opslag med links eller forsøg på at skaffe penge.

Den sidste type er værd at notere. Uvedkommende, der overtager en konto, har typisk et formål. Er den eneste usædvanlige aktivitet netop den besked, sagen drejer sig om, passer det dårligt med et typisk mønster. Det er ikke afgørende, men det indgår i helheden. Det samme gør det, hvis kontoen fortsatte med at blive brugt normalt af ejeren lige før og lige efter.

Spørgsmål, der efterprøver indsigelsen

Bed modparten om at oplyse:

Hvornår opdagede du, at kontoen var hacket, og hvordan?
Hvad gjorde du: skiftede du adgangskode, kontaktede du tjenesten, advarede du dine kontakter?
Modtog du sikkerhedsmeddelelser fra tjenesten?
Hvilke andre beskeder eller handlinger kom fra kontoen i perioden, som du ikke står bag?
Hvilke enheder var forbundet til kontoen, og hvilke er det nu?
Var totrinsbekræftelse slået til?

Det er typisk modparten, der har adgang til de data, der kan belyse spørgsmålene: kontoens sikkerhedsside, loginhistorik og mails fra tjenesten. Retsplejelovens § 344, stk. 2, giver retten mulighed for at tillægge det virkning, hvis en part undlader at efterkomme modpartens opfordringer eller giver uklare eller ufuldstændige erklæringer (retsinformation.dk). Hvordan opfordringen formuleres, og hvilken vægt et manglende svar kan få, er en procesvurdering.

Tidspunktet for indsigelsen

Hvornår indsigelsen kom første gang, siger noget. Blev kontakterne advaret samme dag? Blev tjenesten kontaktet? Eller kom påstanden først, da beskeden blev fremlagt i sagen? Saml de tidspunkter, der kan dokumenteres, i en oversigt. → Tidslinjer som bevis

Vær forsigtig med at lægge for meget i, at modparten ikke gjorde noget. Mange opdager en kontoovertagelse sent eller reagerer ikke systematisk. Det er en del af helheden, ikke et bevis.

Data hos tjenesten

Platforme har ofte mere detaljerede oplysninger, end brugeren kan se. Det kan dog være vanskeligt at få dem udleveret til brug i en civil sag, især fra udenlandske tjenester. Det mest realistiske er ofte, at kontoens ejer selv henter sine data via tjenestens funktion til download af egne oplysninger og fremlægger loginhistorik og sikkerhedshændelser derfra. → Anonym modpart: hvem står bag profilen eller mailen?

Loginhistorik gemmes ikke for evigt. Er der gået lang tid, kan oplysningerne være slettet hos tjenesten. Det er et argument for at rejse spørgsmålet tidligt i sagen.

Når klienten siger, kontoen var hacket

Er det klienten, der fremsætter indsigelsen, skal den underbygges, før den bruges:

Sikr kontoens sikkerhedsside, loginhistorik og forbundne enheder, før der ryddes op.
Gem sikkerhedsmails fra tjenesten som filer.
Notér, hvad klienten gjorde, og hvornår.
Undgå, at klienten sletter kontoen eller nulstiller telefonen, før sporene er sikret.

En indsigelse uden understøttende data kan skade klientens troværdighed mere, end den hjælper. Viser sikringen ingen tegn på uvedkommende adgang, er det bedre at vide det, før indsigelsen fremsættes. → Er de digitale beviser stærke nok til en retssag?

Hvad en undersøgelse kan og ikke kan

En IT-sagkyndig kan undersøge enheder og kontodata og beskrive, om der er tegn på uvedkommende adgang i den periode, sagen handler om. Konklusionen vil ofte være formuleret som “der er fundet” eller “der er ikke fundet” tegn på adgang fra ukendte enheder. Fravær af spor er ikke det samme som bevis for, at der ikke var adgang, men det kan indgå i bevisbedømmelsen. Skal undersøgelsen bruges over for modparten, bør formen overvejes. → Syn og skøn i IT-sager

Totrinsbekræftelse og adgangskoder

Var kontoen beskyttet med totrinsbekræftelse, kræver en uvedkommende adgang normalt mere end en adgangskode. Det udelukker ikke en overtagelse, fx hvis den uvedkommende har adgang til telefonen, eller hvis brugeren har godkendt en anmodning ved en fejl. Men det gør det relevant at spørge, hvordan den uvedkommende skulle have passeret totrinsbekræftelsen.

Var kontoen derimod beskyttet med en adgangskode, der også blev brugt på andre tjenester, eller var koden kendt af andre, er en uvedkommende adgang mere sandsynlig. Spørg til begge dele.

Gode og dårlige formuleringer

“Sagsøgte kan ikke bevise, at kontoen var hacket.” · “Sagsøgte opfordres til at fremlægge kontoens loginhistorik og sikkerhedsmeddelelser for perioden 1. til 15. marts.”
“Der er ingen tegn på hacking.” · “Den fremlagte loginhistorik viser alene logins fra to enheder, som sagsøgte har oplyst at have brugt.”
“Kontoen var åbenlyst hacket.” · “Kontoen sendte i perioden beskeder med links til 40 kontakter, som klienten ikke står bag, jf. bilag 7.”

Tal og datoer er eksempler på formuleringer. Præcisionen viser, hvad data faktisk siger, og hvad der er slutninger.

Typiske fejl

At afvise indsigelsen uden at bede om de data, der kan efterprøve den.
At acceptere indsigelsen uden at spørge, hvornår og hvordan hackingen blev opdaget.
At overse anden aktivitet fra kontoen i samme periode.
At vente så længe, at loginhistorikken er slettet hos tjenesten.
At lade klienten fremsætte indsigelsen uden sikrede data.