Активационният ключ не е лиценз. Как да проверите произхода на вторичния софтуер?

Това експертно интервю с лицензионния специалист Игор Вайнлих подчертава правните рискове при закупуване на активационни ключове без документация за прехвърляне и обяснява как организациите могат да разпознаят фалшифицираните лицензи, за да гарантират пълно съответствие.

Как да разпознаете легалния вторичен софтуер и да избегнете капана на търговец, който предоставя само активационен ключ вместо лиценз? Игор Вайнлих, специалист по лицензиране във Forscope, споделя своя опит с проверката на оферти и документи за прехвърляне на лицензи. Той обяснява кои несъответствия трябва да послужат като предупредителен сигнал и защо дори автентично изглеждащата документация може да не бъде гаранция.

Какъв сериозен проблем представляват сивият пазар на лицензи и продажбата само на активационни ключове?

Фундаменталният проблем е, че клиентът често не може да направи разлика между ключ и лиценз. Ключът е комбинация от букви и цифри, която отключва програмата. Това обаче не означава, че неговият притежател има право да използва софтуера. За да има това право, той се нуждае от правно основание. Потребителят трябва да може да докаже, че е закупил надлежно софтуера като нов или че правото на използването му му е било прехвърлено. Именно това упълномощаване представлява същността на лиценза. Ако клиентът закупи само ключ без документирани права за ползване, той може технически да отключи програмата, но самият ключ не му дава правото да я използва.

Тоест клиентът може да има работещ софтуер и въпреки това да няма право да го използва?

Да. И рискът, свързан с такова използване, се носи от крайния клиент. Продажбата на самия ключ е нещо различно от продажбата на лиценз – тоест правото на използване на софтуера. Някои клиенти, купуващи софтуер втора употреба, биват подвеждани; други може да предприемат тази стъпка съзнателно. Често обаче те предполагат, че щом имат фактура, автоматично притежават правото да ползват софтуера. Най-простата форма на тази търговия изглежда така: некоректен търговец предлага например най-новия Office 2024 за един долар, едно евро или може би двеста крони. Наред с това той изрично посочва, че продава ключ, или комбинира термините „ключ“ и „лиценз“.

В случая с клиентите за частни потребители ли става въпрос, или и за компании?

И за двете групи. Разликата е най-вече във възприемането на риска. Компаниите се притесняват повече от евентуален одит и проверка дали използват софтуера законно. Честно казано, за частния потребител рискът някой да дойде в дома му, за да проверява софтуера на компютъра му, е по-скоро теоретичен. За компаниите рискът е значително по-голям. Същевременно възниква въпросът кой носи отговорност за покупката и използването – дали IT служителят, който е придобил софтуера, лицето, което е одобрило или платило покупката, или компанията като цяло.

Продажбата на проблемни ключове съсредоточена ли е само в евтини оферти в интернет, или засяга и по-големи търговци?

Тя вече си пробива път и в обществените поръчки. Сблъсквали сме се със ситуации, при които продавачите създават фалшива документация за ключа. В началото разполагат само с ключ, а към него допълнително измислят съпътстващи документи, целящи да създадат впечатлението, че става дума за редовен лиценз. Впоследствие продават продукта като използван софтуер с документирана верига на прехвърляне. Те или си измислят тази верига, или разполагат с няколко свързани дружества, през които препродават продукта, за да съществува някаква формална верига. Цените, разбира се, са изключително ниски.

Трудно ли е да се разкрие такава подправена документация?

Легитимността на прехвърлянето се доказва с документи. Но парадоксално, при автентичните вторични лицензи може да бъде трудно да се осигурят оригиналите, тъй като са минали много години от първоначалната покупка. Например може да продавате лицензи, които първоначално са закупени като Office 2016, но тъй като клиентът е плащал за непрекъснати актуализации – т.нар. Software Assurance – сега има право на най-новата версия, Office 2024. Възможно е обаче той вече да не пази оригиналния документ от 2016 г., тъй като документите за покупка не са съхранявани в продължение на десет години. Поради това при доказването на законен произход се използват също копия или извлечения от различни портали.

Какви други усложнения съпътстват продажбата на вторични лицензи?

Търговец, който фалшифицира документация, днес може лесно да създаде документ, който на пръв поглед изглежда безупречно. Цветен, изряден и изглеждащ като оригинал. Външният вид на документа обаче сам по себе си не казва нищо за това дали съдържанието му отговаря на истината. За купувача често е достатъчно просто да получи документи и той вярва на написаното в тях. Но рядко някой вдига телефона, за да се обади на първоначалната компания и да провери дали тя действително е продала съответния брой лицензи на друго лице. Така че проблемът не е само в това дали документацията съществува. Необходимо е да се провери дали тя съответства на реалността. А това често не се прави.

Откъде всъщност идват ключовете на сивия пазар? Истински ключове за конкретен софтуер ли са, или са вид фалшифицирани универсални ключове?

В интернет ключове могат да бъдат намерени от най-различни източници. За да се разбере това обаче, е необходимо да се обясни как работят обемните лицензи. Във Forscope продаваме безсрочни лицензи от програми за обемно лицензиране, при които един ключ може да активира например хиляда устройства. Така вие нямате хиляда уникални ключа, а един споделен ключ. Нелегални ключове могат да бъдат закупени например в Китай, в eBay или на други места. Те могат да бъдат от различен тип и да позволяват например няколкостотин активации. За продавачите единствено на ключове това е напълно достатъчно за техния бизнес.

Тоест броят на активациите не съответства непременно на броя лицензи, които клиентът реално притежава?

Самата активация не е доказателство за правото на използване на софтуера. Един ключ може да има например от триста до петстотин активации. След като те се изчерпят, производителят на софтуера или добавя още, или ключът се заменя. Ние също можем да предоставим на клиента друг ключ, ако капацитетът за активация на първоначалния ключ е изчерпан. Но това не променя правното основание за ползване на софтуера.

Бих направил сравнение с автомобил. Когато загубите ключ или той се износи, си изваждате нов. С него отново отключвате и стартирате колата. Самият ключ обаче не доказва, че имате правото да използвате автомобила. При проверка също не е достатъчно просто да покажете, че той влиза в контакта на таблото. Нужни са ви съответните документи.

Как некоректните продавачи превръщат такъв ключ в оферта за уж редовен лиценз?

Към тестови ключове, откраднати ключове или ключове с произход от Китай или други държави извън Европейския съюз те добавят фалшифицирана документация, предназначена да докаже европейския произход на лиценза. След това ги продават като софтуер втора употреба. Някои отиват дори по-далеч и твърдят, че продават нов софтуер. Аргументират се с това, че макар лицензът вече да е бил закупен от някого, софтуерът все още не е инсталиран. От правна гледна точка това е пълен абсурд. Решаващият фактор е, че някой е закупил правото на ползване на софтуера и сега прехвърля това право нататък. Дали софтуерът някога е бил инсталиран или активиран, е напълно без значение за разграничаването между нов и употребяван софтуер.

Какво предоставят на клиента, когато твърдят, че софтуерът е нов?

Понякога само фактура. Често се сблъскваме с това например в Полша. Когато новият приобретател поиска документация, продавачът отговаря: „Това са нови лицензи. Ето ви фактурата, това ви е напълно достатъчно.“

Споменахте, че проблемът с фалшивите лицензи засяга и обществените поръчки. Какво ви навежда на това заключение?

Свързваме се с публични институции със заявления по Закона за свободен достъп до информация (Закон № 106). Там, където подозирахме проблем, попитахме какво им е било доставено и как са го проверили. Отговорите понякога са доста мъгляви. В един от случаите обаче, директно в публикувания договор, открихме данни, че институцията е закупила Office 2024 Standard по програмата Enterprise Agreement. Посочихме им, че Office 2024 Standard изобщо не се предлага в тази програма и че в Enterprise Agreement е било възможно да се закупи единствено най-високото издание – Professional Plus.

Как реагира институцията на сигнала?

Първоначално не му обърнаха внимание. Едва когато се опитахме да им обясним проблема с прост пример – че това е все едно да си купят апартамент на десетия етаж в сграда, която има само пет етажа – те започнаха да изясняват ситуацията с доставчика. Последният отговор, който получихме, беше, че преговорите с него продължават. Ставаше въпрос за приблизително два милиона и половина крони, платени за нещо, което не съществува в посочената форма.

Предполагам, че от страна на купувача е било въпрос на прекомерно доверие или непознаване на материята, а не на умисъл.

Възможно е да е било непознаване, но според мен един IT специалист би трябвало да знае тези основни неща, особено ако отговаря за информационните технологии на цялата институция.

Как може да се разпознае проблемна оферта? Какво трябва да провери клиентът?

Във Forscope нашият подход изисква да видим документите. Когато разполагаме с тях, можем да открием грешките. Колегата ни, отговарящ за доставките, знае как точно трябва да изглеждат придружаващите документи, какви номера са логични и как са обозначени отделните лицензионни споразумения. Обикновен клиент, който вижда такава документация за първи път, има много по-малък шанс да разкрие несъответствията. Но някои грешки могат да бъдат разпознати и без задълбочени лицензионни познания. Например когато в документите пише, че някой е закупил Office 2024 още през 2022 г., при положение че този продукт тогава още не е съществувал. В документацията за една обществена поръчка открихме също прехвърляне на лицензи към компания в период, когато тя все още дори не е била учредена.

Имате ли документирани други примери?

Понякога правя контролни покупки на подозрителен софтуер, които след това използвам за обучение на нашите търговски представители. Тук може да се посочи конкретен казус. Понякога колегите идват при мен и казват, че някой предлага същия продукт като нашия, но на половин цена. Казвам им: „Добре, нека да видим какво всъщност продават.“ Изисквам такъв продукт и купувам лиценз. Естествено, интересувам се от цялата съпътстваща документация, която получавам. Понякога дори от самите отговори личи, че продавачът не знае какво предлага. Написаното от него не съответства на параметрите на дадената лицензионна програма. Понякога оставам с впечатлението, че в чата отговаря бот. Тези дружества често се състоят от един-единствен човек. По този начин рискът от подобен „бизнес“ се минимизира за тях.

Какво реално застрашава клиент, който закупи проблемен ключ и започне да използва софтуера? И каква е отговорността на продавача?

Бих разграничил две ситуации. Ако някой открито продава само ключ и клиентът купува ключ, по мое мнение продавачът не е изложен на голям риск. Ако обаче предлага лиценз, а вместо това доставя само ключ с фалшива документация, в това вече бих съзрял измама. Той въвежда клиента в заблуждение, като му представя документация като доказателство за законен произход.

Тук обаче стигаме до въпроса кой търпи вреди и в какъв размер. От една страна, вредата възниква за лицето, закупило такъв софтуер, а от друга – за самия производител, който обаче може да не е мотивиран да предяви претенции за тези щети.

Тоест търговците на проблемни ключове, които участват в обществени поръчки, действат като стандартни компании?

Да. Те са нормално регистрирани дружества, често с един-единствен управител. Това лице може да притежава още две или три фирми, чрез които създава верига от прехвърляния. След това кандидатстват по обществени поръчки и се конкурират като всеки друг доставчик.

Какво следва да се направи, ако документите изглеждат надеждни на пръв поглед?

Остава в сила правилото, че е необходимо да се провери тяхното съдържание. Ако в документацията е посочен доставчик, можете да се свържете с него по телефон или имейл и да попитате дали номерът на фактурата и посоченият продукт действително съвпадат. Разбира се, те биха могли да отговорят, че това е търговска тайна.

Как Forscope проверява легалността на собствените си лицензи? Как процедирате?

Точно както току-що описах. Проверяваме нашите доставчици и верифицираме веригата на прехвърляне. Обаждаме се на отделните компании и установяваме дали посочените лицензионни споразумения действително са съществували. Извършваме проверката предварително. Алтернативно привличаме одитор, който проверява лицензите и изготвя доклад за тях.

Описахме как действат търговците на ключове, които на практика предлагат незаконна стока. Как изглежда от друга страна търговията с надлежно документирани вторични лицензи?

Компаниите, които изкупуват лицензи, организират търгове. Те изкупуват лицензи по определен договор и след това предлагат отделни софтуерни пакети. Можете да се регистрирате за търга и да закупите лицензи. Така се вижда кой участва в тези търгове и кой купува. В рамките на ЕС Германия е основен източник на вторични лицензи. Ние също, освен чрез директно изкупуване, купуваме от германски партньори.

Ако дадена компания установи, че е закупила проблемен софтуер, може ли той да бъде легализиран впоследствие?

Не. По същия начин не можете впоследствие да легализирате и фалшива чанта.