Klucz aktywacyjny to nie licencja. Jak zweryfikować pochodzenie oprogramowania z drugiej ręki?

Wywiad ekspercki ze specjalistą ds. licencjonowania Igorem Weinlichem naświetla ryzyka prawne związane z zakupem kluczy aktywacyjnych oprogramowania bez dokumentacji przeniesienia praw oraz wyjaśnia, jak organizacje mogą identyfikować sfałszowane licencje, aby zapewnić pełną zgodność prawną.

Jak rozpoznać legalne oprogramowanie z drugiej ręki i nie dać się nabrać sprzedawcy, który zamiast licencji dostarcza jedynie klucz aktywacyjny? Igor Weinlich, specjalista ds. licencjonowania w Forscope, dzieli się swoim doświadczeniem w weryfikacji ofert i dokumentów przeniesienia licencji. Wyjaśnia, jakie rozbieżności powinny wzbudzić czujność i dlaczego nawet autentycznie wyglądająca dokumentacja może nie stanowić gwarancji.

Jak dużym problemem jest szara strefa w obrocie licencjami oraz sprzedaż samych kluczy aktywacyjnych?

Fundamentalny problem polega na tym, że klient często nie potrafi odróżnić klucza od licencji. Klucz to kombinacja liter i cyfr, która odblokowuje program. Nie oznacza to jednak, że jego posiadacz ma prawo do korzystania z oprogramowania. Aby je mieć, potrzebna jest podstawa prawna. Użytkownik musi być w stanie wykazać, że prawidłowo zakupił oprogramowanie jako nowe lub że przeniesiono na niego prawo do korzystania z niego. To właśnie to uprawnienie stanowi istotę licencji. Jeśli klient kupuje wyłącznie klucz bez udokumentowanych praw do użytkowania, może wprawdzie technicznie odblokować program, ale sam klucz nie daje mu prawa do korzystania z niego.

Zatem klient może mieć działające oprogramowanie, a mimo to nie posiadać uprawnień do korzystania z niego?

Tak. A ryzyko związane z takim użytkowaniem ponosi klient końcowy. Sprzedaż samego klucza to zupełnie co innego niż sprzedaż licencji – czyli prawa do korzystania z oprogramowania. Część klientów kupujących oprogramowanie z drugiej ręki zostaje wprowadzona w błąd, inni decydują się na to świadomie. Często jednak zakładają, że jeśli mają fakturę, to automatycznie przysługuje im prawo do korzystania z programu. Najprostsza forma takiego procederu polega na tym, że nieuczciwy sprzedawca oferuje na przykład najnowszy Office 2024 za dolara, euro czy dwieście koron. Jednocześnie wprost zaznacza, że sprzedaje klucz, albo miesza pojęcia „klucz” i „licencja”.

Czy w przypadku klientów mówimy o użytkownikach prywatnych, czy również o firmach?

O obu tych grupach. Różnica polega głównie na postrzeganiu ryzyka. Przedsiębiorstwa bardziej obawiają się audytu i kontroli legalności użytkowanego oprogramowania. Prawdę mówiąc, dla użytkownika prywatnego ryzyko, że ktoś przyjdzie do jego domu sprawdzić oprogramowanie na komputerze, jest raczej czysto teoretyczne. Dla firm to ryzyko jest znacznie większe. Jednocześnie pojawia się pytanie, kto ponosi odpowiedzialność za zakup i użytkowanie – czy pracownik IT, który nabył oprogramowanie, osoba, która zatwierdziła lub opłaciła zakup, czy też przedsiębiorstwo jako całość.

Czy sprzedaż wątpliwych kluczy dotyczy wyłącznie tanich ofert w internecie, czy też obejmuje większe sklepy?

Zjawisko to przenika już nawet do zamówień publicznych. Spotkaliśmy się z sytuacjami, w których sprzedawcy tworzą fałszywą dokumentację do klucza. Najpierw dysponują samym kluczem, a następnie dorabiają do niego dokumenty towarzyszące, które mają wywołać wrażenie, że chodzi o prawidłową licencję. Następnie sprzedają produkt jako oprogramowanie używane z udokumentowanym łańcuchem przeniesienia praw. Łańcuch ten albo zmyślają, albo dysponują kilkoma spółkami, przez które odsprzedają licencje, by stworzyć pozory jego istnienia. Ceny są oczywiście rażąco niskie.

Czy trudno jest zdemaskować taką sfałszowaną dokumentację?

Legalność przeniesienia praw potwierdzają dokumenty. Jednak paradoksalnie, w przypadku w pełni legalnych licencji z drugiej ręki uzyskanie oryginałów bywa trudne, ponieważ od pierwotnego zakupu upłynęło wiele lat. Na przykład sprzedawane są licencje, które pierwotnie zakupiono jako Office 2016, ale ponieważ klient opłacał bieżące aktualizacje – tak zwane Software Assurance – przysługuje mu obecnie prawo do najnowszej wersji, Office 2024. Może on jednak nie posiadać już oryginalnego dokumentu z 2016 roku, ponieważ nie archiwizował dokumentacji zakupowej przez dziesięć lat. Dlatego przy wykazywaniu legalnego pochodzenia stosuje się również kopie lub wyciągi z różnych portali.

Jakie inne komplikacje towarzyszą sprzedaży licencji z drugiej ręki?

Sprzedawca fałszujący dokumentację może dziś z łatwością stworzyć dokument, który na pierwszy rzut oka wygląda nienagannie. Jest kolorowy, przejrzysty i sprawia wrażenie oryginału. Sam wygląd dokumentu nie mówi jednak nic o tym, czy jego treść jest zgodna z prawdą. Kupującemu często wystarcza sam fakt otrzymania dokumentów i bezkrytycznie wierzy w to, co w nich napisano. Nie sięga już po telefon, by zadzwonić do firmy będącej pierwotnym właścicielem i upewnić się, czy rzeczywiście odsprzedała daną liczbę licencji innemu podmiotowi. Problem polega więc nie tylko na tym, czy dokumentacja w ogóle istnieje. Konieczne jest zweryfikowanie, czy odzwierciedla ona rzeczywistość. A to często nie ma miejsca.

Skąd właściwie biorą się klucze na szarym rynku? Czy są to autentyczne klucze do konkretnego oprogramowania, czy też swoiste podrobione „klucze uniwersalne”?

W internecie klucze można pozyskać z najróżniejszych źródeł. Aby to jednak dobrze zrozumieć, trzeba wyjaśnić, jak funkcjonują licencje grupowe. W Forscope sprzedajemy licencje wieczyste pochodzące z programów licencjonowania grupowego, gdzie pojedynczy klucz może służyć do aktywacji na przykład tysiąca urządzeń. Nie mamy zatem tysiąca unikalnych kluczy, lecz jeden klucz współdzielony. Nielegalne klucze można nabyć na przykład w Chinach, na platformie eBay czy w innych miejscach. Bywają one różnego typu i umożliwiają na przykład kilkaset aktywacji. Osobom handlującym wyłącznie kluczami to w zupełności wystarcza do prowadzenia działalności.

Zatem liczba aktywacji nie musi odpowiadać liczbie licencji, które klient rzeczywiście posiada?

Sama aktywacja nie stanowi dowodu prawa do korzystania z oprogramowania. Klucz może oferować na przykład od trzystu do pięciuset aktywacji. Po ich wyczerpaniu producent oprogramowania dodaje kolejne bądź klucz jest wymieniany na nowy. My również możemy przekazać klientowi inny klucz, jeśli limit aktywacji pierwotnego ulegnie wyczerpaniu. Nie zmienia to jednak podstawy prawnej do korzystania z oprogramowania.

Mógłbym to porównać do samochodu. Kiedy zgubi się kluczyk lub ulegnie on zużyciu, dorabia się nowy. Za jego pomocą można ponownie otworzyć i uruchomić auto. Sam kluczyk nie jest jednak dowodem na to, że ma się prawo użytkować ten pojazd. Podczas kontroli drogowej również nie wystarczy wykazać, że kluczyk pasuje do stacyjki. Niezbędne są odpowiednie dokumenty.

W jaki sposób nieuczciwi sprzedawcy przekształcają taki klucz w ofertę rzekomo prawidłowej licencji?

Do kluczy testowych, kradzionych lub pochodzących z Chin bądź innych krajów spoza Unii Europejskiej dołączają sfałszowaną dokumentację mającą wykazać europejskie pochodzenie licencji. Następnie sprzedają je jako oprogramowanie z drugiej ręki. Niektórzy idą jeszcze dalej i twierdzą, że sprzedają oprogramowanie nowe. Argumentują, że choć ktoś już tę licencję nabył, oprogramowanie nie zostało jeszcze zainstalowane. Z punktu widzenia prawa to niedorzeczność. Decydujące znaczenie ma fakt, że ktoś nabył prawo do korzystania z oprogramowania i obecnie przekazuje to prawo dalej. To, czy oprogramowanie zostało kiedykolwiek zainstalowane lub aktywowane, pozostaje bez znaczenia dla rozróżnienia między oprogramowaniem nowym a używanym.

Co dostarczają klientowi, gdy twierdzą, że to nowe oprogramowanie?

Niekiedy wyłącznie fakturę. Często spotykamy się z tym zjawiskiem na przykład w Polsce. Kiedy nowy nabywca domaga się dokumentacji, sprzedawca odpowiada: „To są nowe licencje. Oto faktura, to Państwu w zupełności wystarczy”.

Wspomniał Pan, że problem sfałszowanych licencji dotyczy także zamówień publicznych. Co skłania Pana do takiego wniosku?

Występujemy do instytucji publicznych z wnioskami w trybie ustawy o dostępie do informacji publicznej. Tam, gdzie podejrzewamy nieprawidłowości, pytamy, co dokładnie zostało dostarczone i jak zweryfikowano legalność dostawy. Odpowiedzi bywają nierzadko dość wymijające. W jednym przypadku jednak bezpośrednio w opublikowanej umowie znaleźliśmy zapis wskazujący, że instytucja zakupiła Office 2024 Standard w ramach programu Enterprise Agreement. Wskazaliśmy wówczas, że pakiet Office 2024 Standard w ogóle nie był oferowany w tym programie, a w ramach Enterprise Agreement dostępna była wyłącznie najwyższa edycja – Professional Plus.

Jak instytucja zareagowała na to ostrzeżenie?

Początkowo w ogóle nie podjęła tematu. Dopiero gdy spróbowaliśmy wyjaśnić problem na prostym przykładzie – że to sytuacja analogiczna do zakupu mieszkania na dziesiątym piętrze w budynku liczącym zaledwie pięć kondygnacji – rozpoczęła wyjaśnianie sprawy z dostawcą. Ostatnia informacja, jaką otrzymaliśmy, wskazywała, że negocjacje z nim nadal trwają. Chodziło o kwotę około dwóch i pół miliona koron zapłaconą za coś, co w określonej postaci w ogóle nie istnieje.

Zakładam, że po stronie kupującego była to raczej kwestia nadmiernej ufności lub niewiedzy niż celowego działania.

Mogła to być niewiedza, jednak moim zdaniem pracownik IT powinien orientować się w tych podstawowych kwestiach, zwłaszcza jeśli odpowiada za całą infrastrukturę informatyczną instytucji.

Jak rozpoznać podejrzaną ofertę? Na co klient powinien zwrócić uwagę?

W Forscope wychodzimy z założenia, że musimy zobaczyć dokumenty. Dysponując nimi, jesteśmy w stanie wychwycić błędy. Nasz kolega odpowiedzialny za zakupy doskonale wie, jak powinna wyglądać dokumentacja uzupełniająca, które numery mają sens i w jaki sposób oznacza się poszczególne umowy licencyjne. Standardowy klient, który widzi taką dokumentację po raz pierwszy, ma znacznie mniejsze szanse na dostrzeżenie nieprawidłowości. Niektóre błędy można jednak wychwycić nawet bez specjalistycznej wiedzy licencyjnej. Na przykład wtedy, gdy z dokumentów wynika, że ktoś zakupił pakiet Office 2024 już w 2022 roku – w czasie, gdy produkt ten jeszcze w ogóle nie istniał. W dokumentacji jednego z przetargów publicznych natrafiliśmy również na transfer licencji na rzecz spółki w okresie, gdy podmiot ten nie był jeszcze zarejestrowany.

Czy ma Pan udokumentowane inne tego typu przypadki?

Okazjonalnie dokonuję zakupów podejrzanego oprogramowania, które następnie wykorzystuję do szkolenia naszych doradców handlowych. Mógłby tu posłużyć konkretny przykład. Zdarza się, że handlowcy przychodzą do mnie ze stwierdzeniem, że ktoś oferuje ten sam produkt co my, ale za połowę ceny. Odpowiadam wtedy: „Dobrze, zobaczmy, co oni tak naprawdę sprzedają”. Składam zamówienie i kupuję licencję. Rzecz jasna analizuję całą otrzymaną dokumentację towarzyszącą. Czasami już z samej korespondencji wynika, że sprzedawca nie ma pojęcia, czym handluje. To, co pisze, zupełnie rozmija się z zasadami danego programu licencjonowania. Zdarza się też, że odnoszę wrażenie, iż na czacie odpowiada bot. Podmioty te nierzadko stanowią jednoosobową działalność. W ten sposób ryzyko takiego „biznesu” zostaje zminimalizowane.

Co realnie grozi klientowi, który zakupi trefny klucz i zacznie korzystać z oprogramowania? I jak kształtuje się odpowiedzialność sprzedawcy?

Rozróżniłbym dwie sytuacje. Jeśli ktoś wprost sprzedaje wyłącznie klucz, a klient ten klucz kupuje, to w mojej ocenie sprzedawca nie ponosi dużego ryzyka. Jeśli jednak oferuje licencję, a zamiast tego dostarcza jedynie klucz ze sfałszowaną dokumentacją, dopatrywałbym się w tym znamion oszustwa. Wprowadza klienta w błąd, przedstawiając mu dokumentację mającą rzekomo świadczyć o legalnym pochodzeniu.

Pojawia się tu jednak kwestia tego, kto poniósł szkodę i w jakiej wysokości. Z jednej strony powstaje ona po stronie podmiotu, który zakupił takie oprogramowanie, a z drugiej – u producenta oprogramowania, który może jednak nie mieć motywacji do dochodzenia naprawienia takiej szkody.

Czyli sprzedawcy podejrzanych kluczy startujący w przetargach publicznych funkcjonują jak zwykłe przedsiębiorstwa?

Tak. To normalnie zarejestrowane firmy, często z jednoosobowym zarządem. Taka osoba może posiadać dwie lub trzy inne spółki, za pośrednictwem których tworzy sztuczny łańcuch przeniesienia praw. Następnie składa ofertę w przetargu publicznym i konkuruje jak każdy inny dostawca.

Co należy zrobić, jeśli dokumenty na pierwszy rzut oka wyglądają wiarygodnie?

Niezmiennie kluczowa pozostaje weryfikacja ich treści. Jeśli w dokumentacji wskazany jest pierwotny dostawca, można skontaktować się z nim telefonicznie lub mailowo i zapytać, czy numer faktury oraz określony produkt rzeczywiście się zgadzają. Oczywiście może on odpowiedzieć, że informacje te stanowią tajemnicę przedsiębiorstwa.

Jak Forscope weryfikuje legalność oferowanych przez siebie licencji? Jak przebiega Państwa procedura?

Dokładnie tak, jak opisałem przed chwilą. Weryfikujemy naszych dostawców i sprawdzamy łańcuch przeniesienia praw. Kontaktujemy się z poszczególnymi podmiotami i ustalamy, czy wskazane umowy licencyjne rzeczywiście istniały. Kontrolę tę przeprowadzamy z wyprzedzeniem. Alternatywnie angażujemy audytora, który weryfikuje licencje i sporządza z tego raport.

Opisaliśmy działanie handlarzy kluczami, którzy w praktyce oferują nielegalny towar. A jak z drugiej strony wygląda obrót rzetelnie udokumentowanymi licencjami z drugiej ręki?

Firmy zajmujące się skupem licencji organizują aukcje. Odkupują licencje z określonego kontraktu, a następnie oferują poszczególne pakiety oprogramowania. Do takiej aukcji można przystąpić i zakupić licencje. Widać zatem w pełni, kto bierze udział w tych aukcjach i kto dokonuje zakupu. W ramach UE głównym źródłem licencji z drugiej ręki są Niemcy. My również, obok bezpośredniego skupu, zaopatrujemy się u niemieckich partnerów.

Jeśli firma zorientuje się, że zakupiła wątpliwe oprogramowanie, czy istnieje możliwość jego następczej legalizacji?

Nie. Podrobionej torebki również nie da się później zalegalizować.