Aktivačný kľúč nie je licencia. Ako overiť pôvod druhotného softvéru?

Tento odborný rozhovor s licenčným špecialistom Igorom Weinlichom poukazuje na právne riziká nákupu aktivačných kľúčov bez prevodovej dokumentácie a vysvetľuje, ako môžu organizácie odhaliť falšované licencie a zaistiť plnú zhodu s predpismi.

Ako rozpoznať legálny druhotný softvér a nenaletieť predajcovi, ktorý namiesto licencie dodá len aktivačný kľúč? Igor Weinlich, licenčný špecialista spoločnosti Forscope, sa delí o svoje skúsenosti s preverovaním ponúk a dokumentácie o prevode licencií. Vysvetľuje, aké nezrovnalosti by mali vzbudiť podozrenie a prečo ani autenticky vyzerajúca dokumentácia nemusí byť zárukou.

Aký veľký problém predstavuje sivý trh s licenciami a samotný predaj aktivačných kľúčov?

Zásadný problém je v tom, že zákazník často nedokáže rozlíšiť medzi kľúčom a licenciou. Kľúč je kombinácia písmen a číslic, ktorá program odomkne. To však neznamená, že jeho držiteľ má právo softvér používať. Na to potrebuje právny titul. Používateľ musí vedieť preukázať, že softvér riadne kúpil ako nový, alebo že naňho bolo právo na používanie prevedené. Práve toto oprávnenie tvorí podstatu licencie. Ak si zákazník kúpi len kľúč bez doložených užívacích práv, program síce technicky odomkne, no samotný kľúč ho k jeho používaniu neoprávňuje.

Zákazník teda môže mať fungujúci softvér, no napriek tomu k nemu nemusí mať oprávnenie na používanie?

Áno. A riziko spojené s takýmto používaním nesie koncový zákazník. Samotný predaj kľúča je niečo iné ako predaj licencie – teda oprávnenia softvér používať. Niektorí zákazníci kupujúci druhotný softvér sú uvedení do omylu, iní do toho idú vedome. Často sa však domnievajú, že ak majú faktúru, automaticky majú aj právo softvér používať. Najjednoduchšia podoba tohto obchodovania vyzerá tak, že podvodný predajca ponúka napríklad najnovší Office 2024 za dolár, euro alebo trebárs dvesto korún. Zároveň pri tom výslovne uvádza, že predáva kľúč, prípadne kombinuje pojmy „kľúč“ a „licencia“.

Hovoríme v prípade zákazníkov o súkromných používateľoch, alebo aj o firmách?

O oboch týchto skupinách. Rozdiel je najmä vo vnímaní rizika. Firmy sa viac obávajú toho, že k nim príde kontrola na audit a preverí, či softvér používajú legálne. Úprimne povedané, pre súkromného používateľa je riziko, že mu niekto príde domov skontrolovať softvér v počítači, skôr teoretické. Pre firmy je riziko vyššie. Zároveň vzniká otázka, kto za nákup a používanie nesie zodpovednosť – či IT pracovník, ktorý softvér zaobstaral, človek, ktorý nákup schválil alebo zaplatil, alebo spoločnosť ako celok.

Sústreďuje sa predaj problematických kľúčov len na lacné ponuky na internete, alebo sa týka aj väčších obchodov?

Dostáva sa to už aj do verejného obstarávania. Stretli sme sa so situáciami, keď predajcovia vytvárajú ku kľúču falošnú dokumentáciu. Na začiatku majú kľúč a k nemu dodatočne vymyslia sprievodné dokumenty, ktoré majú vyvolať dojem, že ide o riadnu licenciu. Následne produkt predávajú ako použitý softvér s doloženým reťazcom prevodov. Tento reťazec si buď vymyslia, alebo majú niekoľko firiem, cez ktoré ho preposielajú, aby nejaký reťazec existoval. Ceny sú, samozrejme, veľmi nízke.

Je ťažké takúto sfalšovanú dokumentáciu odhaliť?

Oprávnenosť prevodu sa preukazuje dokumentmi. No paradoxne, pri pravých druhotných licenciách môže byť zložité získať originály, pretože od prvotného nákupu ubehlo mnoho rokov. Môžete napríklad predávať licencie, ktoré boli pôvodne zakúpené ako Office 2016, no keďže si zákazník platil priebežné aktualizácie – takzvaný program Software Assurance –, má dnes právo na najnovšiu verziu Office 2024. Pôvodný doklad z roku 2016 však už nemusí mať, pretože doklady o kúpe neskladoval desať rokov. Preto sa pri preukazovaní legálneho pôvodu využívajú aj kópie či výpisy z rôznych portálov.

Aké ďalšie komplikácie sprevádzajú predaj druhotných licencií?

Predajca, ktorý falšuje dokumentáciu, dnes dokáže ľahko vytvoriť dokument, ktorý na prvý pohľad vyzerá dokonale. Je farebný, úhľadný a pôsobí ako originál. Samotný vzhľad dokumentu však nevypovedá nič o tom, či je jeho obsah pravdivý. Kupujúcemu často stačí, že dokumenty dostane, a verí tomu, čo je v nich napísané. Už však nezdvihne telefón a nezavolá pôvodnej spoločnosti, aby si overil, či daný počet licencií inému subjektu skutočne predala. Problém teda nespočíva len v tom, či dokumentácia existuje. Je potrebné overiť, či zodpovedá skutočnosti. A to sa často nedeje.

Odkiaľ kľúče na sivom trhu vlastne pochádzajú? Ide o skutočné kľúče pre konkrétny softvér, alebo o nejaké sfalšované „univerzálne kľúče“?

Na internete sa dajú kľúče získať z rôznych zdrojov. Pre pochopenie je však potrebné vysvetliť, ako fungujú multilicencie. V spoločnosti Forscope predávame trvalé licencie z multilicenčných programov, kde jeden kľúč dokáže aktivovať napríklad tisíc zariadení. Nemáte teda tisíc unikátnych kľúčov, ale jeden spoločný. Nelegálne kľúče sa dajú kúpiť napríklad v Číne, na eBayi alebo inde. Môžu byť rôzneho typu a umožňovať povedzme niekoľko stoviek aktivácií. Predajcom samotných kľúčov to pre ich biznis stačí.

Počet aktivácií teda nemusí nevyhnutne zodpovedať počtu licencií, ktoré zákazník v skutočnosti vlastní?

Samotná aktivácia nie je dôkazom práva na používanie softvéru. Kľúč môže mať napríklad tristo až päťsto aktivácií. Po ich vyčerpaní výrobca softvéru buď pridá ďalšie, alebo sa kľúč vymení. Aj my môžeme zákazníkovi poskytnúť iný kľúč, ak sa aktivačná kapacita pôvodného vyčerpá. Na právnom základe používania softvéru to však nič nemení.

Prirovnal by som to k autu. Keď stratíte kľúč alebo sa opotrebuje, dáte si vyrobiť nový. Tým auto opäť otvoríte a naštartujete. No samotný kľúč nedokazuje, že máte právo auto používať. Pri kontrole tiež nestačí ukázať, že pasuje do zapaľovania. Potrebujete príslušné doklady.

Ako podvodní predajcovia premenia takýto kľúč na ponuku údajne riadnej licencie?

K testovacím kľúčom, ukradnutým kľúčom alebo kľúčom s pôvodom v Číne či iných krajinách mimo Európskej únie pridajú falošnú dokumentáciu, ktorá má preukázať európsky pôvod licencie. Následne ich predávajú ako druhotný softvér. Niektorí idú ešte ďalej a tvrdia, že predávajú nový softvér. Argumentujú tým, že hoci si licenciu už niekto kúpil, softvér ešte nebol nainštalovaný. Z právneho hľadiska je to nezmysel. Rozhodujúce je, že niekto kúpil právo softvér používať a toto právo teraz prevádza ďalej. To, či bol softvér niekedy nainštalovaný alebo aktivovaný, nie je na rozlíšenie medzi novým a druhotným softvérom podstatné.

Čo zákazníkovi dodajú, keď tvrdia, že ide o nový softvér?

Niekedy len faktúru. S tým sa často stretávame napríklad v Poľsku. Keď nový nadobúdateľ požaduje dokumentáciu, predajca odpovie: „Ide o nové licencie. Tu máte faktúru, to vám stačí.“

Spomenuli ste, že problém podvodných licencií sa týka aj verejného obstarávania. Čo vás vedie k tomuto záveru?

Verejné inštitúcie oslovujeme so žiadosťami podľa zákona č. 106 o slobodnom prístupe k informáciám. Tam, kde sme mali podozrenie na problém, sme sa pýtali, čo im bolo dodané a ako to skontrolovali. Odpovede bývajú niekedy dosť vágne. V jednom prípade sme však priamo v zverejnenej zmluve našli údaj, že inštitúcia kúpila Office 2024 Standard z programu Enterprise Agreement. Upozornili sme teda na to, že Office 2024 Standard sa v tomto programe vôbec neponúkal a že v rámci Enterprise Agreement bolo možné kúpiť len najvyššiu edíciu Professional Plus.

Ako inštitúcia na upozornenie reagovala?

Spočiatku to neriešili. Až keď sme sa im problém pokúsili vysvetliť na jednoduchom príklade – že je to podobné, ako keby si kúpili byt na desiatom poschodí v budove, ktorá má len päť poschodí –, začali situáciu s dodávateľom riešiť. Posledná odpoveď, ktorú sme dostali, bola, že rokovania s ním naďalej pokračujú. Išlo približne o dva a pol milióna korún zaplatených za niečo, čo v uvedenej podobe neexistuje.

Predpokladám, že na strane kupujúceho išlo skôr o dôverčivosť či neznalosť než o úmysel.

Mohla to byť neznalosť, no podľa môjho názoru by IT pracovník mal tieto základné veci poznať, obzvlášť ak má na starosti IT celej inštitúcie.

Ako sa dá problematická ponuka rozpoznať? Čo by si mal zákazník skontrolovať?

V spoločnosti Forscope máme prístup založený na tom, že potrebujeme vidieť dokumenty. Keď ich máme k dispozícii, dokážeme v nich nájsť chyby. Náš kolega, ktorý má na starosti nákup, vie, ako by mali sprievodné dokumenty vyzerať, aké čísla dávajú zmysel a ako sú jednotlivé licenčné zmluvy označené. Bežný zákazník, ktorý vidí takúto dokumentáciu prvýkrát, má oveľa menšiu šancu nezrovnalosti odhaliť. Niektoré chyby sa však dajú rozpoznať aj bez hlbších licenčných znalostí. Napríklad keď je v dokumentoch uvedené, že niekto kúpil Office 2024 už v roku 2022, keď tento produkt ešte neexistoval. V dokumentácii k jednému verejnému obstarávaniu sme našli aj prevod licencií na firmu v čase, keď ešte ani nebola založená.

Máte zdokumentované aj ďalšie príklady?

Príležitostne robím nákupy podozrivého softvéru, ktoré potom využívam na školenie našich obchodných zástupcov. Mohol by sa tu objaviť konkrétny príklad. Niekedy za mnou prídu s tým, že niekto ponúka rovnaký produkt ako my, ale za polovičnú cenu. Poviem im: „Dobre, poďme sa pozrieť na to, čo v skutočnosti predávajú.“ Požiadam o takýto produkt a kúpim licenciu. Prirodzene ma zaujíma aj všetka sprievodná dokumentácia, ktorú dostanem. Niekedy je už z odpovedí zrejmé, že predajca nevie, čo predáva. To, čo píše, nezodpovedá možnostiam daného licenčného programu. Niekedy mám tiež pocit, že na chate odpovedá bot. Tieto firmy často tvorí jediný človek. Riziko takéhoto „podnikania“ sa tým minimalizuje.

Čo reálne hrozí zákazníkovi, ktorý si kúpi problematický kľúč a začne softvér používať? A aká je zodpovednosť predajcu?

Rozlíšil by som dve situácie. Ak niekto otvorene predáva len kľúč a zákazník si kúpi kľúč, predajcovi podľa mňa veľké riziko nehrozí. Ak však ponúka licenciu a namiesto toho dodá len kľúč s falošnou dokumentáciou, v tom by som už videl podvod. Zavádza zákazníka tým, že mu predkladá dokumentáciu ako dôkaz legálneho pôvodu.

Dostávame sa však k otázke, komu vznikla škoda a v akej výške. Na jednej strane vzniká tomu, kto si takýto softvér kúpil, a na druhej strane jeho výrobcovi, ktorý však nemusí mať motiváciu takúto škodu vymáhať.

Predajcovia problematických kľúčov, ktorí sa zúčastňujú na verejnom obstarávaní, teda vystupujú ako bežné firmy?

Áno. Sú to bežne založené spoločnosti, často s jediným konateľom. Ten môže mať dve alebo tri ďalšie firmy, cez ktoré vytvára reťazec prevodov. Následne sa prihlási do verejnej súťaže a súťaží ako každý iný dodávateľ.

Čo by malo nasledovať, ak dokumenty vyzerajú na prvý pohľad dôveryhodne?

Stále platí, že je potrebné overiť ich obsah. Ak je v dokumentácii uvedený dodávateľ, môžete ho kontaktovať telefonicky alebo e-mailom a opýtať sa, či číslo faktúry a uvedený produkt skutočne sedia. Samozrejme, môže odpovedať, že ide o obchodné tajomstvo.

Ako overuje legálnosť vlastných licencií spoločnosť Forscope? Ako postupujete?

Presne tak, ako som práve popísal. Preverujeme našich dodávateľov a overujeme reťazec prevodov. Voláme jednotlivým spoločnostiam a zisťujeme, či uvedené licenčné zmluvy skutočne existovali. Kontrolu vykonávame vopred. Prípadne zapojíme audítora, ktorý licencie overí a vypracuje k nim správu.

Popísali sme, ako fungujú predajcovia kľúčov („key-men“), ktorí fakticky ponúkajú nelegálny tovar. Ako na druhej strane vyzerá obchodovanie s riadne doloženými druhotnými licenciami?

Spoločnosti, ktoré vykupujú licencie, organizujú aukcie. Vykúpia licencie z určitej zmluvy a potom ponúkajú jednotlivé softvérové balíky. Do aukcie sa môžete prihlásiť a licencie kúpiť. Je teda vidieť, kto sa na týchto aukciách zúčastňuje a kto nakupuje. V rámci EÚ je významným zdrojom druhotných licencií Nemecko. Aj my okrem priamych výkupov nakupujeme od nemeckých partnerov.

Ak firma zistí, že si kúpila problematický softvér, dá sa dodatočne legalizovať?

Nie. Falzifikát kabelky tiež dodatočne nezlegalizujete.