Hatalmas biztonsági botrány robbant ki Nagy-Britanniában: a világ egyik legfejlettebb hírszerző szolgálata, a GCHQ több ezer adathordozó hollétével képtelen elszámolni. A pendrive-ok, külső merevlemezek és memóriakártyák között olyan eszközök is lehetnek, amelyek lehallgatott beszélgetéseket, titkos megfigyelések eredményeit vagy akár szigorúan titkos minősítésű információkat tartalmaznak. A legkínosabb részlet, hogy a problémát már évekkel ezelőtt jelezték az ügynökségnek, a hiányzó eszközök pontos számát azonban máig nem sikerült megállapítani. A brit titkosszolgálat most a nyilvántartási rendszer hiányosságaival magyarázza a történteket.

Az ügyet a brit hírszerző szolgálatok működését ellenőrző független hatóság, az Investigatory Powers Commissioner's Office (IPCO) 2025-ös éves jelentése hozta ismét nyilvánosságra. A dokumentumot 2026. október 29-én tették közzé, és a megállapításai komoly kérdéseket vetnek fel a brit nemzetbiztonsági adatok kezelésével kapcsolatban. Az ellenőrző szerv szerint a GCHQ továbbra sem rendelkezik megbízható áttekintéssel arról, pontosan hány hordozható adattároló hiányzik, hol lehetnek ezek az eszközök, és mennyi szerezhető vissza közülük.

Brian Leveson, a felügyeleti hatóság vezetője különösen aggasztónak nevezte, hogy az ügynökség évekkel a probléma első jelzése után sem tudott átfogó magyarázatot adni. A jelentés szerint a GCHQ saját becslése is több ezer érintett eszközzel számol. A brit elektronikus hírszerzés egyik legfontosabb szervezetéről van szó, amelynek alapvető feladata az érzékeny kommunikációs adatok megszerzése, elemzése és biztonságos kezelése.

A történet azért is különösen kellemetlen, mert a brit szolgálatok világszerte jelentős szerepet játszanak a kiberbiztonsági és elektronikus hírszerzési együttműködésben. A GCHQ az Egyesült Államokkal, Kanadával, Ausztráliával és Új-Zélanddal alkotott Öt Szem hírszerzési szövetség egyik kulcsszereplője. Egy ilyen szervezetnél az adathordozók ellenőrizhetetlen mozgása a szövetségesek bizalmát is érintő biztonsági kérdés.

Telefonlehallgatások, titkos e-mailek és feltört számítógépek adatai is érintettek lehetnek

A felügyeleti jelentés szerint a hiányzó eszközök egy része a brit megfigyelési törvény, az Investigatory Powers Act alapján gyűjtött információkat tárolhatott. Ez a jogszabály szabályozza többek között az elektronikus kommunikáció titkos megfigyelését és bizonyos informatikai rendszerekhez történő hírszerzési hozzáférést.

Az ilyen adatok rendkívül érzékenyek lehetnek. A hírszerző szolgálatok által megszerzett információk között telefonbeszélgetések, SMS-ek, elektronikus levelek, internetes kommunikációs adatok, valamint számítógépekről vagy mobiltelefonokról kinyert állományok is szerepelhetnek. Egyes adatok nemzetbiztonsági műveletekhez, megfigyelt személyekhez vagy a szolgálatok technikai módszereihez kapcsolódhatnak.

A 2024-es felügyeleti jelentés már korábban jelezte, hogy a GCHQ és a brit belső elhárítás, az MI5 jelentős számú hordozható eszközt nem tudott megtalálni. Az érintett adattárolók között olyanok is lehettek, amelyeken a brit minősítési rendszer legmagasabb, TOP SECRET kategóriájába tartozó információkat kezeltek.

Az ellenőrzés akkor azt is megállapította, hogy a nyilvántartásból hiányzó eszközök többsége titkosított volt, vagy PIN-kóddal védett hozzáférést igényelt. Ez csökkentheti az illetéktelen adatmegismerés veszélyét, de a fizikai eszközök hollétének ismerete ettől még alapvető biztonsági követelmény marad.

Évek óta tudtak a problémáról, mégsem sikerült rendet tenni

Az IPCO már 2023-ban felszólította a GCHQ-t és az MI5-öt, hogy vizsgálják felül a hordozható adathordozók kiadásának, visszavételének és nyilvántartásának rendszerét. Az ellenőrzések során derült ki, hogy mindkét ügynökségnél jelentős hiányosságok vannak az eszközök követhetőségében.

A 2024-es jelentés szerint a probléma hátterében elsősorban a megfelelő ellenőrzési rendszer hiánya állt. Nem működött kellően szigorú nyilvántartás arról, hogy az egyes eszközöket melyik munkatárs, milyen célból vette át, és mikor kellett volna visszaszolgáltatnia. A most nyilvánosságra hozott 2025-ös jelentésből azonban kiderült, hogy a helyzet rendezése továbbra sem fejeződött be. A GCHQ már meghatározta a potenciálisan elveszett eszközök becsült felső számát, de a ténylegesen hiányzó adattárolók pontos mennyisége még mindig nem ismert.

Brian Leveson szerint az eltelt idő önmagában is aggodalomra ad okot. A felügyeleti hatóság továbbra is ellenőrzi a helyreállítási folyamatot, és azt várja az ügynökségtől, hogy végre átfogó, ellenőrizhető képet adjon a hiányzó adathordozók helyzetéről.

A brit kémek szerint a nyilvántartó rendszer volt a hibás

A GCHQ elismerte, hogy korábbi eszköznyilvántartási rendszere nem volt megfelelő. A szolgálat szóvivője szerint a használt informatikai megoldás nem tudta kellő megbízhatósággal követni a munkatársak számára kiadott hordozható adattárolókat. Az ügynökség állítása szerint elfogadták a felügyeleti szerv megállapításait, és intézkedéseket vezettek be a hiányosságok megszüntetésére. Ezek közé tartozik a nyilvántartási eljárások felülvizsgálata, az eszközök használatának szigorúbb ellenőrzése és egy új, automatizált követőrendszer kialakítása.

A tervek szerint az automatizált rendszer 2026 végére állhat működésbe, és az ügynökség ezt követően pontosabb adatokat tudhat szolgáltatni a ténylegesen elveszett eszközökről. A GCHQ hangsúlyozta, hogy az adathordozókkal kapcsolatos biztonsági kockázatok csökkentésére többféle védelmi intézkedést alkalmaz. Arról azonban továbbra sem közölt részleteket, hogy a hiányzó eszközök közül bármelyik illetéktelen személyhez került-e.

Eltűnt adatok vagy eltűnt nyilvántartás?

Az ügy egyik legfontosabb kérdése, hogy a több ezer adattároló valóban fizikailag veszett-e el, vagy a hiányos nyilvántartás miatt nem lehet pontosan megállapítani a helyzetüket. A két lehetőség között jelentős különbség van, a felügyeleti jelentés azonban éppen azt kifogásolja, hogy a GCHQ ezt sem tudta még megfelelően tisztázni.

Elképzelhető, hogy egyes eszközök már szabályosan megsemmisültek, visszakerültek a raktárakba vagy továbbra is valamelyik munkatársnál vannak, csak a nyilvántartásuk hiányos. A jelentés ugyanakkor azt sem zárja ki, hogy valóban elveszett adattárolók is szerepelnek az érintett eszközök között.

Arra nincs nyilvános bizonyíték, hogy a hiányzó pendrive-okat vagy merevlemezeket idegen hírszerző szolgálatok szerezték volna meg. A probléma súlyát azonban már önmagában jelzi, hogy a GCHQ nem képes megfelelően igazolni az érzékeny adatok tárolására használt eszközeinek hollétét. Egy titkosszolgálatnál ugyanis az adatok biztonsága nem ér véget a titkosításnál. Az eszközök fizikai ellenőrzése, visszakövethetősége és dokumentált megsemmisítése ugyanúgy a védelem része, mint a digitális hozzáférések szabályozása.

Újabb hibákra is fény derült a brit hírszerzésnél

A felügyeleti jelentés nem kizárólag az adathordozók ügyében tárt fel hiányosságokat. Az IPCO egy másik vizsgálata során olyan technikai hibát is azonosított a GCHQ egyik rendszerében, amelynek következtében ártatlan személyeket tévesen hoztak kapcsolatba terrorizmussal összefüggő tevékenységekkel.

A téves azonosítások miatt öt esetben került sor kikötői vagy repülőtéri terrorellenes intézkedésre. Az érintetteket feltartóztatták, digitális eszközeikről adatokat másoltak le, és biometrikus adataikat is rögzítették. A jelentés szerint a hiba egy internetes alkalmazás sajátos működéséből fakadt, amely megbízhatatlanná tette a megfigyelési célpontok azonosítására használt módszert.

A szolgálat a probléma felismerése után intézkedett a következmények enyhítésére. Az eset azonban jól mutatja, hogy még a legfejlettebb hírszerző rendszerekben is előfordulhatnak olyan technikai hibák, amelyek közvetlenül érintik az állampolgárok jogait.

A világ egyik legfejlettebb titkosszolgálata még a pendrive-jait sem találja

A GCHQ az elektronikus hírszerzés és a kiberbiztonság területén a világ vezető szervezetei közé tartozik. A brit állam jelentős erőforrásokat fordít arra, hogy a szolgálat hozzáférjen a modern kommunikációs rendszerekben keletkező adatokhoz, és megvédje az ország nemzetbiztonsági érdekeit.

Ehhez képest különösen kínos, hogy az ügynökség évekkel az első figyelmeztetések után sem tud teljes körűen elszámolni saját hordozható adattárolóival. A technológiai fejlettség ugyanis vajmi keveset ér, ha az alapvető nyilvántartási és ellenőrzési folyamatok nem működnek megfelelően.

A brit felügyeleti hatóság most további intézkedéseket vár a GCHQ-tól, hogy végre pontosan megállapítható legyen az érintett adathordozók száma és sorsa.

A botrány legkellemetlenebb tanulsága, hogy a világ egyik legjobban felszerelt elektronikus hírszerző szolgálata több ezer adattároló hollétéről nem tud számot adni. Hogy ezek közül mennyi veszett el ténylegesen, és jutott-e bármelyiken tárolt információ illetéktelen kézbe, továbbra sem ismert. A brit titkosszolgálat azonban már most magyarázattal tartozik arra, hogyan működhetett éveken át olyan rendszer, amelyben akár szigorúan titkos adatokat hordozó eszközök ezreinek nyoma veszhetett.