Uber ukarany grzywną!

Dwa lata temu w wyniku naruszenia

infrastruktury IT Ubera wyciekły dane osobowe 2,7 mln klientów z Wielkiej

Brytanii. Brytyjski organ nadzorczy ICO (ang. Information Commissioner’s

Office) – odpowiednik polskiego GIODO – w ostatnich dniach poinformował na

swojej stronie internetowej o nałożeniu grzywny w wysokości 492 tys. USD.

W oficjalnym komunikacie

ICO czytamy, że kara za brak należytej ochrony danych osobowych klientów

została nałożona na mocy ustawy z 1996 roku. Gdyby naruszenie nastąpiło po 25

maja 2018, kwota byłaby 203 razy większa. Podobną karę na Ubera w wysokości

600 tysięcy euro nałożył holenderski Urząd Ochrony Danych Osobowych

(Autoriteit Persoonsgegevens).

Ataku dokonano za pomocą metody

nazywanej credential stuffing. Polega ona na kradzieży loginów i haseł

ze słabo zabezpieczonych serwerów lub kupowaniu ich na czarnym rynku. Zdobyte w

ten sposób poświadczenia wykorzystywane są przy zautomatyzowanym, masowym

logowaniu do atakowanej usługi.

W efekcie przestępcy wykradli dane

osobowe 2,7 miliona klientów oraz informacje dotyczące prawie 82 tys.

zarejestrowanych kierowców. Przestępcom udało się uzyskać nieautoryzowany dostęp

do imion i nazwisk, adresów email, numerów telefonów, danych nt. przebytej

trasy oraz informacji o płatnościach.

W uzasadnieniu ICO zwraca uwagę nie

tyle na sam problem kradzieży danych osobowych, co na naganne postepowanie

Ubera po ataku. Firma nie poinformowała klientów o naruszeniu i w tajemnicy

zapłaciła napastnikom okup za zniszczenie wykradzionych danych. Informacja o

ataku została upubliczniona dopiero rok po incydencie, co naraziło osoby

korzystające z Ubera na kolejne ataki z wykorzystaniem wykradzionych

poświadczeń.

„Uber całkowicie zlekceważył

bezpieczeństwo swoich klientów i kierowców, których dane trafiły w ręce

przestępców. Nie podjęto żadnych kroków w celu poinformowania poszkodowanych o

zagrożeniu oraz nikomu nie udzielono wsparcia. Uber pozostawił swoich klientów

bezbronnymi wobec przestępców” – powiedział Steve Eckersley, Dyrektor ds.

Dochodzeń w ICO.

Płacenie przestępcom i zatajanie

informacji nt. ataku jest według stanowiska ICO postępowaniem nagannym.

Wprawdzie zgodnie z ustawą o ochronie danych osobowych z 1996 roku nie ma

obowiązku zgłaszania tego typu incydentów, to jednak uważamy, że postepowanie

Ubera narażało jego klientów na poważne niebezpieczeństwo – kontynuuje

Eckersley.

Zgodnie z obowiązującym od 25 maja

2018 r. w Unii Europejskiej Rozporządzeniem o Ochronie Danych Osobowych (GDPR),

grzywna wyniosłaby 100 mln USD (4% rocznego obrotu przedsiębiorstwa). Grzywna

nałożona na Ubera w wysokości 492 tys. USD to maksymalny wymiar kary

według rozporządzenia z 1996 r.

Podobna grzywna została nałożona na

Facebook za skandal związany z Cambridge Analytica oraz na amerykańskiego

potentata kredytowego, firmę Equifax – ofiarę największego naruszenia w

historii, które doprowadziło do wycieku numerów ubezpieczeń społecznych niemal

połowy Amerykanów.

W takiej sytuacji, gdy dane już wyciekły, wszyscy zainteresowani powinni

zostać natychmiast poinformowani o naruszeniu i konieczności zmiany haseł i

loginów we wszystkich usługach, do których z ich pomocą się logują. Może to

zapobiec kradzieży danych z innych serwerów klientów. Brak reakcji firm z

pewnością negatywnie wpłynie na opinie użytkowników – komentuje

Dariusz Woźniak, inżynier techniczny Bitdefender z firmy Marken.