Radaris traci domeny po sporze o prywatność. Przełom w walce z brokerami danych

Wprowadzenie do problemu / definicja

Brokerzy danych od lat rozwijają modele biznesowe oparte na pozyskiwaniu, agregowaniu i monetyzacji danych osobowych pochodzących z rejestrów publicznych, źródeł komercyjnych oraz otwartych zbiorów informacji. Sprawa Radaris pokazuje, że presja prawna może uderzyć nie tylko w przychody takich podmiotów, lecz także w ich kluczową infrastrukturę cyfrową, w tym domeny internetowe wykorzystywane do świadczenia usług people-search.

To istotny sygnał dla rynku prywatności i cyberbezpieczeństwa. Coraz częściej zagrożeniem nie jest wyłącznie klasyczny incydent techniczny, ale także skala oraz sposób przetwarzania danych osobowych, które później mogą być wykorzystywane do profilowania, doxxingu lub nadużyć socjotechnicznych.

W skrócie

W połowie września 2026 roku ujawniono, że domena radaris.com oraz kilkanaście powiązanych domen zostały przeniesione na rzecz strony powodowej po postępowaniu dotyczącym naruszeń przepisów prywatności obowiązujących w stanie New Jersey. Spór dotyczył publikowania danych osób objętych ochroną wynikającą z Daniel’s Law, obejmującą między innymi funkcjonariuszy, sędziów i członków ich rodzin.

Według relacji z postępowania sąd uznał, że pozwani wielokrotnie nie prowadzili skutecznej obrony, a dodatkowo posługiwali się złożonymi strukturami korporacyjnymi utrudniającymi egzekwowanie roszczeń. Efektem było przejęcie 14 domen oraz ograniczenie możliwości dalszej monetyzacji danych przez jeden z najbardziej rozpoznawalnych serwisów tego typu.

Kontekst / historia

Radaris od lat funkcjonował jako część szerszego ekosystemu wyszukiwarek osób, adresów, numerów telefonów i powiązań rodzinnych. Tego typu serwisy działają na granicy legalnego pozyskiwania danych oraz kontrowersyjnych praktyk dalszego profilowania i sprzedaży informacji. Szczególne ryzyko pojawia się wtedy, gdy publikowane dane dotyczą osób narażonych zawodowo na odwet, stalking lub przemoc.

Punktem zwrotnym w tej sprawie było zastosowanie przepisów Daniel’s Law w stanie New Jersey. Regulacja ta przyznaje określonym grupom osób prawo do usunięcia danych z komercyjnych baz brokerów danych oraz przewiduje sankcje za ignorowanie takich żądań. Pozew przeciwko Radaris wniesiono w lutym 2024 roku, a następnie rozszerzono go w czerwcu 2025 roku o kolejne podmioty i domeny powiązane z tym ekosystemem.

Znaczenie miało również wcześniejsze tło sporów sądowych związanych z Radaris. Z dostępnych materiałów wynika, że operatorzy przez lata mieli korzystać z rotujących struktur właścicielskich i podmiotów zarejestrowanych w różnych jurysdykcjach, co utrudniało precyzyjne ustalenie odpowiedzialności oraz skuteczną egzekucję wcześniejszych roszczeń.

Analiza techniczna

Z perspektywy technicznej sprawa Radaris nie dotyczy klasycznego ataku ransomware, exploita zero-day ani naruszenia sieci. Kluczowy problem dotyczył infrastruktury wspierającej masowe przetwarzanie danych osobowych. Zagrożenie wynikało nie z włamania, lecz z długotrwałego, zautomatyzowanego modelu publikowania i komercjalizacji danych.

Według informacji ujawnionych w toku sporu wiele formalnie odrębnych podmiotów powiązanych z działalnością Radaris miało korzystać ze wspólnych zasobów administracyjnych, technicznych i finansowych. Wskazywano między innymi na współdzielone skrzynki pocztowe, wspólne zaplecze płatnicze oraz jednolite środowisko operacyjne dla wielu serwisów people-search. To model charakterystyczny dla architektury wielomarkowej, w której różne domeny i nazwy handlowe maskują faktyczną centralizację zarządzania.

Z punktu widzenia cyberbezpieczeństwa szczególnie ważne są następujące elementy:

pozornie niezależne serwisy mogą w praktyce stanowić jeden organizm operacyjny;
domena internetowa staje się zasobem krytycznym, którego utrata może przerwać ciągłość usługi;
model oparty na masowym obrocie danymi osobowymi naturalnie zwiększa ryzyko nadużyć oraz wtórnego wykorzystania danych.

W sprawie pojawiły się także informacje o skali monetyzacji. Serwis radaris.com miał generować około 42 tys. USD miesięcznie, a inne powiązane serwisy uzyskiwały dodatkowe przychody z partnerstw marketingowych oraz usług usuwania danych. Pokazuje to, że rynek brokerów danych jest dojrzałym ekosystemem biznesowym, a nie niszowym segmentem internetu.

Konsekwencje / ryzyko

Najważniejszym skutkiem tej sprawy jest potwierdzenie, że działania prawne mogą być wymierzone bezpośrednio w infrastrukturę cyfrową brokerów danych. Przeniesienie domen osłabia zdolność operatora do utrzymania widoczności w wyszukiwarkach, pozyskiwania ruchu, obsługi płatności i dalszej sprzedaży raportów o użytkownikach. Dla branży oznacza to wzrost ryzyka operacyjnego, prawnego i reputacyjnego.

Dla osób, których dane były publikowane, ograniczenie działania serwisu może zmniejszyć ekspozycję informacji, ale nie oznacza automatycznego zniknięcia danych z całego ekosystemu. Informacje są często replikowane pomiędzy partnerami, pośrednikami, archiwami i innymi wyszukiwarkami osób. Oznacza to, że uderzenie w jedną domenę nie rozwiązuje problemu systemowo.

Ryzyko dotyczy również sektora publicznego i służb. Publikowanie adresów domowych, numerów kontaktowych czy danych rodzinnych funkcjonariuszy może prowadzić do doxxingu, nękania, prób wymuszeń, ataków socjotechnicznych, a w skrajnych przypadkach do zagrożeń fizycznych. W tym sensie sprawa Radaris wykracza poza klasyczną ochronę prywatności konsumenckiej i dotyka obszaru bezpieczeństwa osobowego.

Na poziomie regulacyjnym sprawa wpisuje się w szerszy trend. Podobne przepisy dotyczące ochrony danych osób szczególnie narażonych pojawiają się w kolejnych stanach, a równolegle trwają spory o granice dopuszczalnego obrotu informacją publiczną. W praktyce oznacza to, że presja na brokerów danych będzie rosła zarówno poprzez procesy sądowe, jak i rozwój legislacji.

Rekomendacje

Organizacje odpowiedzialne za ochronę danych osobowych powinny potraktować sprawę Radaris jako sygnał ostrzegawczy. Zarządzanie ekspozycją danych w internecie wymaga działań ciągłych, a nie jednorazowej reakcji.

prowadzić cykliczny monitoring brokerów danych i serwisów people-search pod kątem obecności informacji o pracownikach oraz kadrze kierowniczej;
wdrożyć formalny proces składania żądań usunięcia danych wraz z archiwizacją korespondencji i terminów odpowiedzi;
uwzględniać brokerów danych w modelowaniu zagrożeń, zwłaszcza w kontekście phishingu, pretextingu i ataków BEC;
rozwijać polityki OPSEC dla pracowników wysokiego ryzyka, obejmujące ograniczanie śladów cyfrowych i ochronę przed doxxingiem;
śledzić rozwój przepisów stanowych dotyczących usuwania danych oraz obowiązków compliance.

Szczególnie sektor publiczny, bezpieczeństwo, finanse i ochrona zdrowia powinny przyjąć bardziej aktywne podejście do kontroli swojej ekspozycji w bazach brokerów danych.

Podsumowanie

Sprawa Radaris stanowi ważny precedens na styku prywatności, bezpieczeństwa i infrastruktury internetowej. Pokazuje, że brokerzy danych mogą być skutecznie ograniczani nie tylko przez kary finansowe, lecz także poprzez działania uderzające w ich domeny i zaplecze operacyjne.

Dla specjalistów cyberbezpieczeństwa to jasne przypomnienie, że ekspozycja danych osobowych jest pełnoprawnym wektorem ryzyka, nawet jeśli nie dochodzi do klasycznego naruszenia systemów. W praktyce skuteczna walka z doxxingiem i nadużyciami danych wymaga połączenia narzędzi prawnych, operacyjnych i technicznych.