Dwa lata temu w wyniku naruszenia infrastruktury IT z Ubera wyciekły dane osobowe 2,7 mln klientów z Wielkiej Brytanii. W związku z tym ICO (ang. Information Commissioner's Office) – odpowiednik polskiego GIODO – poinformował na swojej stronie internetowej o nałożeniu na firmę grzywny w wysokości 492 mln dol. Gdyby naruszenie nastąpiło po 25 maja tego roku kara mogłaby wynieść nawet 100 mln dolarów.
W oficjalnym komunikacie ICO czytamy, że kara za brak należytej ochrony danych osobowych klientów została nałożona na mocy ustawy z 1996 roku. Gdyby naruszenie nastąpiło po 25 maja 2018, kwota byłaby 203 razy większa. Podobną karę na Ubera w wysokości 600 tysięcy euro nałożył holenderski Urząd Ochrony Danych Osobowych (Autoriteit Persoonsgegevens).
Ataku dokonano za pomocą metody nazywanej credential stuffing. Polega ona na kradzieży loginów i haseł ze słabo zabezpieczonych serwerów lub kupowaniu ich na czarnym rynku. Zdobyte w ten sposób poświadczenia wykorzystywane są przy zautomatyzowanym, masowym logowaniu do atakowanej usługi.
W efekcie przestępcy wykradli dane osobowe 2,7 miliona klientów oraz informacje dotyczące prawie 82 tys. zarejestrowanych kierowców. Przestępcom udało się uzyskać nieautoryzowany dostęp do imion i nazwisk, adresów e-mail, numerów telefonów, danych nt. przebytej trasy oraz informacji o płatnościach.
W uzasadnieniu ICO zwraca uwagę nie tyle na sam problem kradzieży danych osobowych, co na naganne postępowanie Ubera po ataku. Firma nie poinformowała klientów o naruszeniu i w tajemnicy zapłaciła napastnikom okup za zniszczenie wykradzionych danych. Informacja o ataku została upubliczniona dopiero rok po incydencie, co naraziło osoby korzystające z Ubera na kolejne ataki z wykorzystaniem wykradzionych poświadczeń.
Grzywna nałożona na Ubera w wysokości 492 tys. dolarów to maksymalny wymiar kary według rozporządzenia z 1996 r. Podobna grzywna została nałożona na Facebook za skandal związany z Cambridge Analytica oraz na amerykańskiego potentata kredytowego, firmę Equifax – ofiarę największego naruszenia w historii, które doprowadziło do wycieku numerów ubezpieczeń społecznych niemal połowy Amerykanów.
Dariusz Woźniak, inżynier techniczny Bitdefender z firmy Marken zauważa, iż w sytuacji, gdy dane już wyciekły, wszyscy zainteresowani powinni zostać natychmiast poinformowani o naruszeniu i konieczności zmiany haseł i loginów we wszystkich usługach, do których z ich pomocą się logują. Może to zapobiec kradzieży danych z innych serwerów klientów. Według eksperta brak reakcji firmy z pewnością negatywnie wpłynie na opinie użytkowników.
Źródło: Bitdefender
Aktualności
|
Porady
|
Gościnnie
|
Katalog
Bukmacherzy
|
Sprawdź auto
|
Praca
biurowirtualnewarszawa.pl wirtualne biura w Śródmieściu Warszawy
Artykuł może w treści zawierać linki partnerów biznesowych
i afiliacyjne, dzięki którym serwis dostarcza darmowe treści.
*
|
|
|
|
|
|