W oficjalnym komunikacie ICO czytamy, że kara za brak należytej ochrony danych osobowych klientów została nałożona na mocy ustawy z 1996 roku. Gdyby naruszenie nastąpiło po 25 maja 2018, kwota byłaby 203 razy większa. Podobną karę na Ubera w wysokości 600 tysięcy euro nałożył holenderski Urząd Ochrony Danych Osobowych (Autoriteit Persoonsgegevens).

Ataku dokonano za pomocą metody nazywanej credential stuffing. Polega ona na kradzieży loginów i haseł ze słabo zabezpieczonych serwerów lub kupowaniu ich na czarnym rynku. Zdobyte w ten sposób poświadczenia wykorzystywane są przy zautomatyzowanym, masowym logowaniu do atakowanej usługi.

W efekcie przestępcy wykradli dane osobowe 2,7 miliona klientów oraz informacje dotyczące prawie 82 tys. zarejestrowanych kierowców. Przestępcom udało się uzyskać nieautoryzowany dostęp do imion i nazwisk, adresów e-mail, numerów telefonów, danych nt. przebytej trasy oraz informacji o płatnościach.

W uzasadnieniu ICO zwraca uwagę nie tyle na sam problem kradzieży danych osobowych, co na naganne postępowanie Ubera po ataku. Firma nie poinformowała klientów o naruszeniu i w tajemnicy zapłaciła napastnikom okup za zniszczenie wykradzionych danych. Informacja o ataku została upubliczniona dopiero rok po incydencie, co naraziło osoby korzystające z Ubera na kolejne ataki z wykorzystaniem wykradzionych poświadczeń.

Grzywna nałożona na Ubera w wysokości 492 tys. dolarów to maksymalny wymiar kary według rozporządzenia z 1996 r. Podobna grzywna została nałożona na Facebook za skandal związany z Cambridge Analytica oraz na amerykańskiego potentata kredytowego, firmę Equifax – ofiarę największego naruszenia w historii, które doprowadziło do wycieku numerów ubezpieczeń społecznych niemal połowy Amerykanów.

Dariusz Woźniak, inżynier techniczny Bitdefender z firmy Marken zauważa, iż w sytuacji, gdy dane już wyciekły, wszyscy zainteresowani powinni zostać natychmiast poinformowani o naruszeniu i konieczności zmiany haseł i loginów we wszystkich usługach, do których z ich pomocą się logują. Może to zapobiec kradzieży danych z innych serwerów klientów. Według eksperta brak reakcji firmy z pewnością negatywnie wpłynie na opinie użytkowników.

Źródło: Bitdefender