Proton Mail dostarczył dane użytkownika, co doprowadziło do aresztowania w Hiszpanii

ProtonMail, szwajcarski dostawca bezpiecznych usług e-mailowych, stał się przedmiotem kontrowersji po tym, jak zmuszony został do udostępnienia adresu jednego ze swoich klientów organom ścigania na mocy prawnie wiążącego wniosku szwajcarskich władz.

Proton Mail znalazł się niedawno w centrum uwagi ze względu na udzielenie władzom hiszpańskim informacji wystarczających do zidentyfikowania i aresztowania członka katalońskiej organizacji niepodległościowej, Demokratyczne Tsunami. Firma argumentuje, że została zmuszona do współpracy z organami ścigania zgodnie ze szwajcarskim prawem. Twierdzi również, że sukces hiszpańskiej policji w aresztowaniu tej osoby częściowo wynikał z jej niewystarczającej polityki bezpieczeństwa operacyjnego (OpSec), a dane Proton tylko pośrednio przyczyniły się do zatrzymania. Pełne dane miało przekazać Apple.

Proton Mail wyjaśnia, że choć treści wiadomości e-mail są zaszyfrowane, firma jest zobowiązana do przestrzegania zgodnych z prawem żądań dostępu do wszelkich danych przechodzących przez ich serwery w sprawach karnych.

Podstawowym celem Proton Mail jest dostarczenie kompleksowo zaszyfrowanej platformy e-mailowej, którą uruchomiono w 2013 roku. Ich celem jest zapewnienie, że zawartość wiadomości e-mail pozostanie nieczytelna zarówno dla osób trzecich, jak i dla samej firmy. Mimo że Proton Mail twierdzi, że nie ma dostępu do treści wiadomości, niektóre dane użytkowników, przechodzące przez ich serwery, mogą być potencjalnie wykorzystane do identyfikacji osób.

Proton został rzekomo zmuszony do udostępnienia pomocniczego adresu e-mail Apple, który był używany przez klienta znanego jako „Xuxo Rondinaire”. Podejrzewano, że współpracował on z katalońską policją Mossos d'Esquadra, jednocześnie wspierając nielegalny ruch niepodległościowy w regionie.

Władze zażądały od Apple dodatkowych danych, które mogłyby pomóc w identyfikacji osoby używającej tego pseudonimu. Dyrektor generalny Proton, Andy Yen, potwierdził, że dane osobowe wykorzystane do zatrzymania rzekomego „terrorysty” pochodziły od Apple, a nie od Proton. Yen podkreślił, że choć Proton nie ma możliwości odszyfrowania danych, szwajcarskie sądy mogą nałożyć obowiązek ujawnienia adresów e-mail służących do odzyskiwania danych w „sprawach terrorystycznych”.

W oficjalnym oświadczeniu firma Proton AG wyjaśniła, że ich usługa poczty elektronicznej przechowuje „minimalną ilość informacji o użytkowniku” i nie gwarantuje całkowitej anonimowości. Klienci, którzy poszukują zwiększonego bezpieczeństwa, powinni podjąć odpowiednie środki bezpieczeństwa operacyjnego (OpSec), czyli m.in.unikanie korzystania z prawdziwego konta Apple jako opcjonalnej metody odzyskiwania. Chociaż adres pomocniczy nie jest obowiązkowy przy korzystaniu z Proton Mail, firma może być zmuszona do ujawnienia takich informacji na mocy nakazu szwajcarskiego sądu.

W innym incydencie z 2021 roku Proton Mail została zobowiązana do przekazania szwajcarskim władzom adresu IP i danych urządzenia francuskiego aktywisty klimatycznego. Informacje te zostały następnie użyte przez władze francuskie do zatrzymania aktywisty.