Az aktiválókulcs nem licenc. Hogyan ellenőrizheti a használt szoftverek eredetét?

Az Igor Weinlich licencelési szakértővel készült szakértői interjú rávilágít az átruházási dokumentáció nélküli szoftveraktiváló kulcsok vásárlásának jogi kockázataira, és bemutatja, hogyan azonosíthatják a szervezetek a hamisított licenceket a teljes megfelelőség biztosítása érdekében.

Hogyan ismerhető fel a legális használt szoftver, és hogyan kerülhető el, hogy olyan eladó áldozatává váljunk, aki licenc helyett csupán aktiválókulcsot értékesít? Igor Weinlich, a Forscope licencelési szakértője megosztja tapasztalatait az ajánlatok és a licencátruházási dokumentumok ellenőrzésével kapcsolatban. Elmagyarázza, milyen eltéréseknek kell azonnal gyanút kelteniük, és miért nem jelent garanciát még a hitelesnek tűnő dokumentáció sem.

Milyen komoly problémát jelent a licencek szürkepiaca és az önmagukban értékesített aktiválókulcsok kereskedelme?

Az alapvető probléma az, hogy az ügyfelek gyakran nem tudnak különbséget tenni a kulcs és a licenc között. A kulcs betűk és számok kombinációja, amely feloldja a programot. Ez azonban korántsem jelenti azt, hogy a birtokosa jogosult a szoftver használatára. Ehhez jogalapra van szükség. A felhasználónak képesnek kell lennie igazolni, hogy a szoftvert szabályosan, újként vásárolta meg, vagy hogy a felhasználási jogot átruházták rá. Pontosan ez a felhatalmazás képezi a licenc lényegét. Ha az ügyfél csupán egy kulcsot vásárol dokumentált használati jogok nélkül, technikailag ugyan feloldhatja a programot, de maga a kulcs még nem jogosítja fel a használatára.

Tehát előfordulhat, hogy az ügyfél működő szoftverrel rendelkezik, még sincs jogosultsága a használatára?

Igen. És az ilyen használatból eredő kockázatot a végfelhasználó viseli. Maga a kulcs értékesítése merőben más, mint a licenc – azaz a szoftverhasználati jogosultság – értékesítése. A használt szoftvert vásárló ügyfelek egy részét megtévesztik, mások viszont tudatosan mennek bele ebbe. Gyakran azonban feltételezik, hogy ha van számlájuk, az automatikusan feljogosítja őket a szoftver használatára. Az ilyen kereskedelem legegyszerűbb formája, amikor egy csaló eladó például a legújabb Office 2024-et kínálja egy dollárért, egy euróért vagy akár kétszáz koronáért. Ezzel párhuzamosan kifejezetten feltüntetik, hogy kulcsot árulnak, vagy összemosva használják a „kulcs” és a „licenc” kifejezéseket.

Az ügyfelek esetében magánfelhasználókról vagy vállalatokról is beszélünk?

Mindkét csoportról. A különbség leginkább a kockázat megítélésében rejlik. A vállalatok jobban aggódnak amiatt, hogy egy audit során ellenőrzik, legálisan használják-e a szoftvereket. Az igazat megvallva, egy magánfelhasználó esetében meglehetősen elméleti annak a kockázata, hogy valaki házhoz megy ellenőrizni a számítógépén futó szoftvereket. A vállalatok számára viszont jóval nagyobb a kockázat. Ugyanakkor felmerül a kérdés, hogy ki felelős a beszerzésért és a használatért – az a szoftvert beszerző informatikus, a beszerzést jóváhagyó vagy kifizető személy, vagy maga a vállalat egésze.

A problémás kulcsok értékesítése csak az olcsó internetes ajánlatokra korlátozódik, vagy nagyobb áruházakat is érint?

Ez a jelenség már a közbeszerzésekbe is beszivárog. Találkoztunk olyan helyzetekkel, ahol az eladók hamis dokumentációt készítettek a kulcshoz. Kezdetben csupán egy kulccsal rendelkeznek, majd utólag kitalálnak hozzá kísérő dokumentumokat, amelyek azt a benyomást keltik, mintha szabályos licencről lenne szó. Ezt követően a terméket használt szoftverként értékesítik, dokumentált átruházási láncolattal. Ezt a láncolatot vagy kitalálják, vagy több cégen keresztül forgatják át a terméket, hogy valamilyen láncolat mégis létezzen. Az árak természetesen rendkívül alacsonyak.

Nehéz leleplezni az ilyen hamisított dokumentációt?

Az átruházás jogszerűségét dokumentumok igazolják. Paradox módon azonban a valódi használt licencek esetében is nehéz lehet beszerezni az eredeti iratokat, mivel az első vásárlás óta sok év telt el. Előfordulhat például, hogy olyan licenceket értékesít, amelyeket eredetileg Office 2016-ként vásároltak, de mivel az ügyfél folyamatos frissítésekért – úgynevezett Software Assurance-ért – fizetett, most jogosult a legújabb Office 2024 verzióra. Meglehet azonban, hogy már nincs meg a 2016-os eredeti dokumentuma, mivel nem őrizték meg a beszerzési bizonylatokat tíz éven át. Ezért a legális eredet igazolásakor másolatokat vagy különböző portálokból származó kivonatokat is alkalmaznak.

Milyen egyéb bonyodalmakkal jár a használt licencek értékesítése?

A dokumentumokat hamisító eladók ma már könnyedén előállítanak olyan dokumentumot, amely első pillantásra hibátlannak tűnik. Színes, igényes kivitelű, és eredetinek hat. A dokumentum megjelenése azonban önmagában semmit sem árul el arról, hogy a tartalma valós-e. A vevőnek sokszor az is elég, hogy kap valamilyen iratokat, és elhiszi, ami azokban áll. Azt viszont már nem teszi meg, hogy felveszi a telefont, és felhívja az eredeti vállalatot, hogy ellenőrizze: valóban eladta-e az adott mennyiségű licencet egy másik szervezetnek. A probléma tehát nem pusztán az, hogy létezik-e dokumentáció. Azt is ellenőrizni kell, hogy az megfelel-e a valóságnak. Ez pedig gyakran elmarad.

Honnan származnak valójában a szürkepiaci kulcsok? Konkrét szoftverekhez tartozó valódi kulcsokról van szó, vagy valamiféle hamisított „mesterkulcsokról”?

Az interneten a legkülönbözőbb forrásokból lehet kulcsokhoz jutni. A megértéshez azonban el kell magyarázni, hogyan működnek a mennyiségi licencek. A Forscope-nál mennyiségi licencprogramokból származó örökös licenceket értékesítünk, ahol egyetlen kulccsal akár ezer eszköz is aktiválható. Tehát nem ezer egyedi kulcs áll rendelkezésre, hanem egyetlen közös kulcs. Illegális kulcsok vásárolhatók például Kínában, az eBay-en vagy máshol. Különböző típusúak lehetnek, és mondjuk több száz aktiválást tesznek lehetővé. A puszta kulcsokat értékesítőknek ez bőven elegendő az üzletükhöz.

Tehát az aktiválások száma nem feltétlenül egyezik meg az ügyfél által ténylegesen birtokolt licencek számával?

Maga az aktiválás nem bizonyítja a szoftverhasználati jogot. Egy kulcs rendelkezhet például három- vagy ötszáz aktiválási kerettel. Miután ezek kimerültek, a szoftvergyártó vagy növeli a keretet, vagy kicseréli a kulcsot. Mi is tudunk másik kulcsot biztosítani az ügyfélnek, ha az eredeti kulcs aktiválási kerete elfogyott. Ez azonban mit sem változtat a szoftverhasználat jogalapján.

Ezt egy autóhoz hasonlítanám. Ha elveszíti a kulcsot vagy elkopik, csináltat egy újat. Ezzel újra kinyitja és beindítja az autót. Maga a kulcs azonban nem bizonyítja, hogy jogosult az autó használatára. Egy ellenőrzés során szintén nem elegendő megmutatni, hogy a kulcs beleillik a gyújtáskapcsolóba. Szükség van a megfelelő iratokra is.

Hogyan alakítanak át a csaló eladók egy ilyen kulcsot állítólagosan szabályos licencajánlattá?

A tesztkulcsokhoz, lopott kulcsokhoz vagy Kínából, illetve az Európai Unión kívüli országokból származó kulcsokhoz hamisított dokumentációt mellékelnek, amely a licenc európai eredetét hivatott igazolni. Ezután használt szoftverként értékesítik őket. Egyesek még ennél is tovább mennek, és azt állítják, hogy új szoftvert árulnak. Azzal érvelnek, hogy bár valaki már megvásárolta a licencet, a szoftvert még nem telepítették. Jogi szempontból ez teljes képtelenség. A döntő tényező az, hogy valaki megvásárolta a szoftver használati jogát, és ezt a jogot most továbbadja. Az, hogy a szoftvert valaha telepítették-e vagy aktiválták-e, teljesen irreleváns az új és a használt szoftver megkülönböztetése szempontjából.

Mit bocsátanak az ügyfél rendelkezésére, amikor azt állítják, hogy új szoftverről van szó?

Néha csupán egy számlát. Ezzel gyakran találkozunk például Lengyelországban. Amikor az új megszerző dokumentációt kér, az eladó így válaszol: „Ezek új licencek. Itt a számla, ennek elégnek kell lennie.”

Említette, hogy a csalárd licencek problémája a közbeszerzéseket is érinti. Mi vezeti erre a következtetésre?

A szabad információhoz való hozzáférésről szóló 106. törvény alapján közérdekű adatigénylésekkel fordulunk állami intézményekhez. Ahol problémát gyanítottunk, megkérdeztük, mit szállítottak le nekik, és hogyan ellenőrizték azt. A válaszok néha meglehetősen homályosak. Egy esetben azonban közvetlenül a közzétett szerződésben találtunk olyan adatot, amely szerint az intézmény Office 2024 Standard csomagot vásárolt Enterprise Agreement konstrukcióban. Felhívtuk a figyelmet arra, hogy az Office 2024 Standard egyáltalán nem volt elérhető ebben a programban, és az Enterprise Agreement keretében kizárólag a legmagasabb szintű kiadás, a Professional Plus volt megvásárolható.

Hogyan reagált az intézmény a figyelmeztetésre?

Eleinte nem foglalkoztak vele. Csak akkor kezdték el tisztázni a helyzetet a beszállítóval, amikor egy egyszerű példával próbáltuk elmagyarázni nekik a problémát – miszerint ez olyan, mintha egy ötemeletes épület tizedik emeletén vásárolnának lakást. A legutóbbi válasz, amit kaptunk, az volt, hogy a tárgyalások még folyamatban vannak velük. Ez mintegy két és fél millió korona kifizetését jelentette olyasmiért, ami a megadott formában nem is létezik.

Feltételezem, hogy a vevő részéről ez inkább jóhiszeműség vagy tudatlanság volt, semmint szándékosság.

Lehetett tudatlanság is, de véleményem szerint egy IT-szakembernek ismernie kellene ezeket az alapvető dolgokat, különösen, ha az egész intézmény informatikájáért felel.

Hogyan ismerhető fel a problémás ajánlat? Mit érdemes ellenőriznie az ügyfélnek?

A Forscope-nál az a megközelítésünk, hogy látnunk kell a dokumentumokat. Ha a rendelkezésünkre állnak, ki tudjuk szűrni bennük a hibákat. A beszerzésért felelős kollégánk pontosan tudja, hogyan kell kinézniük a kísérő dokumentumoknak, mely számok logikusak, és hogyan jelölik az egyes licencszerződéseket. Egy átlagos ügyfélnek, aki először lát ilyen dokumentációt, sokkal kisebb esélye van felfedezni az ellentmondásokat. Néhány hiba azonban mélyebb licencelési ismeretek nélkül is felismerhető. Például, ha a dokumentumok szerint valaki már 2022-ben megvásárolta az Office 2024-et, holott a termék akkor még nem is létezett. Egy közbeszerzés dokumentációjában olyan licencátruházást is találtunk egy cégre vonatkozóan, amely időpontban az adott vállalat még meg sem alakult.

Vannak más dokumentált példái is?

Időnként magam is vásárolok gyanús szoftvereket, amelyeket aztán az értékesítőink képzésére használok fel. Itt egy konkrét példa is felhozható. Néha azzal jönnek hozzám, hogy valaki ugyanazt a terméket kínálja, mint mi, de féláron. Erre azt mondom nekik: „Rendben, nézzük meg, mit árulnak valójában.” Kikérem a terméket, és veszek egy licencet. Természetesen az összes kapott kísérő dokumentációra is kíváncsi vagyok. Néha már a válaszokból is egyértelmű, hogy az eladó maga sincs tisztában azzal, mit árul. Amit leírnak, az köszönőviszonyban sincs az adott licencprogram lehetőségeivel. Időnként az a benyomásom támad, hogy egy bot válaszol a chaten. Ezek a cégek gyakran egyszemélyes vállalkozások, így az ilyen jellegű „üzletmenet” kockázata számukra minimálisra csökken.

Mi fenyegeti reálisan azt az ügyfelet, aki problémás kulcsot vásárol és elkezdi használni a szoftvert? És milyen felelősség terheli az eladót?

Két helyzetet különböztetnék meg. Ha valaki nyíltan csak kulcsot árul, és az ügyfél kulcsot vásárol, véleményem szerint az eladónak nem sok kockázattal kell számolnia. Ha viszont licencet kínál, és helyette csupán kulcsot szállít hamis dokumentációval, az már kimeríti a csalás fogalmát. Megtévesztik az ügyfelet azzal, hogy a legális eredet igazolásaként mutatnak be dokumentumokat.

Ezzel azonban elérkeztünk ahhoz a kérdéshez, hogy kit ért kár és mekkora összegben. Egyrészt kár éri azt, aki ilyen szoftvert vásárolt, másrészt a gyártót, aki viszont nem feltétlenül motivált az ilyen károk érvényesítésében.

Tehát a közbeszerzéseken induló, problémás kulcsokat értékesítők normál vállalatként működnek?

Igen. Teljesen szabályosan működő társaságokról van szó, gyakran egyetlen ügyvezetővel. Ennek a személynek lehet még két vagy három másik cége, amelyeken keresztül kialakítja az átruházási láncolatot. Ezután elindulnak a közbeszerzésen, és ugyanúgy versenyeznek, mint bármely más beszállító.

Mi a teendő, ha a dokumentumok első ránézésre hitelesnek tűnnek?

Továbbra is érvényes, hogy ellenőrizni kell a tartalmukat. Ha a dokumentációban szerepel egy beszállító, telefonon vagy e-mailben fel lehet venni vele a kapcsolatot, és megkérdezni, hogy a számlaszám és a megadott termék valóban egyezik-e. Természetesen válaszolhatják azt is, hogy ez üzleti titok.

Hogyan ellenőrzi a Forscope a saját licencei legális voltát? Mi a folyamatuk?

Pontosan úgy, ahogy az imént leírtam. Átvizsgáljuk a beszállítóinkat, és ellenőrizzük az átruházási láncolatot. Felhívjuk az egyes vállalatokat, és kiderítjük, hogy a feltüntetett licencszerződések valóban léteztek-e. Az ellenőrzést előzetesen végezzük el. Emellett auditort is bevonunk, aki felülvizsgálja a licenceket, és jelentést készít róluk.

Beszéltünk a „kulcsárusokról”, akik gyakorlatilag illegális árut kínálnak. Másfelől viszont hogyan néz ki a megfelelően dokumentált használt licencek kereskedelme?

A licenceket felvásárló cégek árveréseket tartanak. Felvásárolják a licenceket egy adott szerződésből, majd különálló szoftvercsomagokat kínálnak eladásra. Az árverésre be lehet jelentkezni, és licenceket lehet vásárolni. Így látható, hogy ki vesz részt ezeken az árveréseken, és ki vásárol. Az EU-n belül Németország jelenti a használt licencek jelentős forrását. A közvetlen felvásárlások mellett mi is német partnerektől vásárolunk.

Ha egy vállalat rájön, hogy problémás szoftvert vásárolt, utólag legalizálható?

Nem. Egy hamisított kézitáskát sem lehet utólag legalizálni.