Baza de date a unui lanț de bordeluri a fost compromisă

Brese de securitate

Vizualizari: 2964

Facebooktwittergoogle_plusredditpinterestlinkedinmail

Nu te panica, este vorba despre un lanț de bordeluri din Spania, așa că n-ai de ce să îți faci griji dacă n-ai mai ajuns de mult prin Peninsulă Iberică. Totuși știrea este pe cât se poate de serioasă iar dacă analizăm puțin volumul și sensibilitatea datelor „scăpate”, parcă nu nu se mai pare atât de amuzant.

Cum a fost posibilă această breșă

Conform celor de la PrivSec Report, cercetătorul de securitate, Bob Diachenko a descoperit o bază de date care expunea informații extrem de sensibile. Baza de date aparținea unei companii spaniole care administrează un lanț de „cluburi de bărbați” răspândite în toată Spania. 

3.350 de angajate și 4.636 clienți expuși

Baza de date conținea informații extrem de sensibile, inclusiv profiluri complete a 3.350 de fete, incluzând printre altele numele lor reale, date de naștere, naționalitatea, cărțile de identitate scanate.

Baza de date conținea, de asemenea, 4.636 de comentarii ale clienților, cu IP-urile, adresele de e-mail, nume și caracteristicile dispozitivelor utilizate. 

Pe lângă datele menționate mai sus, datele financiare ale companiei, parole de admin, log-uri și altele asemenea par de-a dreptul neinteresante.

Imediat ce a descoperit breșa, Diachenko a notificat compania, notificare în urma căreia a închis tot accesul la baza de date expusă.

Considerând daune reputaționale, fizice sau emoționale pe care persoanele vizate de această breșă le pot suferi, Diachenko a ales să nu facă public numele companiei care administrează acele cluburi. Dar mă întreb eu.. or fi oare atât de multe astfel de lanțuri de cluburi încât să nu îți dai seama despre cine este vorba?

„Singurul meu obiectiv este să nu mă concentrez asupra naturii datelor expuse, ci a igienei cibernetice în general și să subliniez din nou importanța păstrării securizate a datelor sensibile - în special a celor care ar putea fi ușor manipulate dacă / atunci când sunt expuse."

„Pericolul de a avea o bază de date MongoDB sau alte baze de date similare NoSql este imens”, a subliniat Diachenko.

„Configurația publică permite posibilitatea ca cybercriminalii să gestioneze întregul sistem cu privilegii administrative complete. Odată ce programul malware este în loc, infractorii ar putea accesa de la distanță resursele serverului și chiar să lanseze o execuție de cod pentru a fura sau distruge complet orice date salvate pe care le conține serverul. "

Las` că le avem și noi pe ale noastre

Acum trei zile scriam despre o breșă de securitate suferită de o firmă de curierat, breșă în urma căreia documentele de transport, care conțin date personale expeditorilor și ale destinatarilor, au fost făcute publice, putând fi accesate de toată lumea care intra pe site-ul companiei. Pe aceste documente se regăseau nume, adrese poștale, numere de telefon, specimene de semnături, informații privind comenzile efectuate și conținutul coletelor precum și seria și numărul actului de identitate și/sau CNP-ul persoanei care le-a recepționat. Destul de multe informații de doar juma` de foaie, am putea spune.

Citește mai multe despre breșă de la Nemo Express aici

Iar amenzile au început să curgă

Site-ul avocatoo.ro, care printre altele oferă și servicii de consultanță GDPR,  a fost „victima” unei situații similare, datele personale ale clienților (nume, prenume, adresa de corespondență, email, telefon, loc de muncă, detalii tranzacții efectuate) care au efectuat tranzacții pe site în perioada 10 decembrie 2018 – 1 februarie 2019 fiind accesibile public. 

Pentru această breșă, operatorul a fost sancționat cu amendă de aproximativ 3.000 euro pentru lipsa „măsurilor tehnice și organizatorice adecvate, în vederea asigurării unui nivel de securitate corespunzător riscului prelucrării”.

Citește mai multe despre breșă înregistrată de avocatoo.ro aici 

Un lucru este cert! 

Puteți să vă îngropați în hârtii de tot felul, politici, contracte, proceduri, să introduceți disclaimere peste tot și orice vă mai trece prin cap, însă atâta timp cât toate acestea nu sunt însoțite și de măsurile tehnice adecvate, aveți toate șansele să le călcați pe urme celor de mai sus. 

Dacă „băiatul de la IT” vă spune că totul este protejat, nu vă lăsați pradă tentației de a evita costul unui specialist. Într-adevăr, orice măsură suplimentară costă, dar ați calculat vreodată cât v-ar putea costa o eventuală breșă? Ați luat în calcul costurile reputationale? Dar faptul că puteți risca să vi se ceară daune în instanță?

Iți plac articolele dpo-NET.ro? Poți fi la curent cu toate aceste noutăți dacă ne urmărești zilnic pe paginile noastre de LinkedIn sau Facebook. 

NOU! Consultă Registrul Amenzilor GDPR pentru mai multe informații despre sancțiunile acordate în baza Regulamentului 2016/679


Acest articol este protejat de către dispoziţiile legale incidente și este interzisă copierea, reproducerea, recompilarea, modificarea, precum şi orice modalitate de exploatare a acestuia. Articolele publicate pe DPO-NET.RO pot fi preluate doar în limita a maxim 500 de caractere, fără a depăşi jumătate din totalul de caractere, şi cu citarea obligatorie a sursei, cu link activ. Orice abatere de la această regulă constituie o încălcare a Legii 8/1996 privind dreptul de autor. Dacă sunteţi interesaţi de preluarea ştirilor și articolelor publicate pe DPO-NET.RO, vă rugăm să ne contactati.

British Airways se îndreaptă spre noi recorduri privind costurile unei breșe de securitate

Brese de securitate

Vizualizari: 1512

Facebooktwittergoogle_plusredditpinterestlinkedinmail

British Airways este pe cale să bată cu mult recordul pentru cea mai mare sancțiune financiară din Europa în era postGDPRistă.

ICO, omologul englez al ANSPDCP-ului nostru, în calitate de autoritate de supraveghere principală, a propus o sancțiune 183 de milioane de ₤, adică puțin peste 200 de milioane de €. Nu mai transform și în moneda națională că nu mă descurc să citesc sume așa mari.. 

Sancțiunea astronomică propusă este consecința incidentului de securitate în urma căruia datele a aproximativ 500.000 de clienți ai British Airways (BA) au fost direcționați spre un site fals care a colectat toate datele care i-au căzut în poală: numele, adrese, datele de conectare, cărți de credit și detaliile ale rezervărilor.

Trebuie să subliniem totuși faptul că valoarea amenzii reprezinta „doar” 1,5% din cifra de afaceri anuală a BA, deși maximul prevăzut de GDPR pentru acest tip de încălcare este de de 4%. Acum că vedem aceste procente, parcă nu mai pare așa mare amenda, nu?

             Mai multe despre amenda propusă de ICO am scris aici:

             ☑  British Airways riscă o amendă record pentru încălcarea GDPR

Cum o veste proastă nu vine mereu singură, iată că British Airways se îndreaptă spre noi recorduri europene în materie de costuri asociate unui incident de securitate. 

Cei 500 de mii de clienți ai British Airways, afectați de acest incidentul de securitate, au primit undă verde pentru a solicita companiei aeriene despăgubiri.

Un judecător al Înaltei Curți din Londra a acordat un ordin de proces colectiv (sau cum s-o traduce „group litigation order”), deschizând calea unei acțiuni în justiție în masă, împotriva companiei.

În prezent, mai mult de 5.000 de clienți afectați, reprezentați de firma de avocatura SPG Law și încă 230 reprezentați de către Your Lawyers Limited, au solicitat despăgubiri.

Însă având în vedere că numărul potențial al reclamanților este mult mai mare, judecătorul a acordat o fereastră de 15 luni de la ședința din data de 4 octombrie, pentru ca persoanele afectate de incidentul de securitate să se alăture procesului colectiv.

Aman Johal, Directorul Your Lawyers, a declarat: „Acordarea deciziei deschiderii unui proces colectiv este un pas cheie către justiție pentru sutele de mii de victime ale scandalului privind încălcarea datelor de către British Airways”.

Ce ar trebui să reținem din pățania British Airways

Trăim în vremuri în care securitatea cibernetică luptă să țină pasul cu ingeniozitatea hackerilor. Este o lege nescrisă, întâi trebuie sa avem un virus pentru a putea crea un antivirus. 

Este o cursă continuă, fără pauză, care poate fi pierdută într-o singură clipă de neatenție sau neștiință, tot efortul de până atunci fiind practic anulat.

Dacă amenzile prevăzute de GDPR vi se par mari, costurile ulterioare unui incident de securitate sunt mult mai mari, acestea crescând exponențial atunci sunt solicitate daune morale în instanță. 

Nu știm care va fi numărul final al persoanelor care se vor alătura procesului colectiv și nici care va fi suma asupra căreia vor cădea de acord părțile, însă cu siguranță aceasta va rămâne mult timp în topul costurilor incidentelor de securitate din SEE (Spațiul Economic European). 

„Distracția” abia acum începe!

Autoritatea de supraveghere irlandeză a încheiat investigațiile îndreptate asupra WhatsApp și Twitter care privesc încălcarea prevederilor Regulamentului general al UE privind protecția datelor, relatează CNBC.

Decizie finală, care se așteaptă să fie anunțată înainte de sfârșitul anului, va aduce probabil noi sancțiuni care vor zgudui puternic acești giganți ai scocial media, asta în ciuda faptului că autoritatea irlandeza a fost destul de rezervată în a lua astfel de decizii. 

Surse: The Evening Standard, CNBC

Iți plac articolele dpo-NET.ro? Poți fi la curent cu toate aceste noutăți dacă ne urmărești zilnic pe paginile noastre de LinkedIn sau Facebook. 

NOU! Consultă Registrul Amenzilor GDPR pentru mai multe informații despre sancțiunile acordate în baza Regulamentului 2016/679


Acest articol este protejat de către dispoziţiile legale incidente și este interzisă copierea, reproducerea, recompilarea, modificarea, precum şi orice modalitate de exploatare a acestuia. Articolele publicate pe DPO-NET.RO pot fi preluate doar în limita a maxim 500 de caractere, fără a depăşi jumătate din totalul de caractere, şi cu citarea obligatorie a sursei, cu link activ. Orice abatere de la această regulă constituie o încălcare a Legii 8/1996 privind dreptul de autor. Dacă sunteţi interesaţi de preluarea ştirilor și articolelor publicate pe DPO-NET.RO, vă rugăm să ne contactati.

Cum ajunge o copie de buletin să coste 10.000 €? Încălcând GDPR-ul, desigur!

Brese de securitate

Vizualizari: 4976

Facebooktwittergoogle_plusredditpinterestlinkedinmail

În data de 19 septembrie 2019, autoritatea de supraveghere belgiană a publicat un comunicat prin care a anunțat o sancțiune de 10.000 de euro pentru nerespectarea minimizării datelor prelucrate și justificarea prelucrării în baza unui consimțământ invalid.

Citirea eID-ului în schimbul unui card de fidelitate

Autoritatea a primit o reclamație cu privire la utilizarea cărții electronice de identitate (eID) de către un comerciant pentru furnizarea unui serviciu comercial, și anume crearea unui card de fidelitate. Deoarece reclamantul a refuzat să-și ofere cartea de identitate, oferindu-se totodată să-și trimită datele în scris, comerciantul a refuzat eliberarea cardului de fidelitate. 

Autoritatea a evaluat această practică din mai multe motive ca nerespectând Regulamentul general privind protecția datelor (GDPR):

  • Nerespectarea principiului minimizării datelor prelucrate

Principiul minimizării prelucrărilor de date este un principiu important în GDPR, care impune operatorului să limiteze cantitatea de date cu caracter personal colectate și perioada de stocare la ceea ce este strict necesar pentru scopul urmărit.

Pentru a crea cardul de fidelitate, comerciantul necesită citirea datelor de pe eID, cum ar fi numele, prenumele, adresa etc., dar și fotografia și codul de bare care este legat de numărul Registrului național belgian. 

Autoritatea subliniază că numărul registrului național (echivalentul CNP-ului) este un subiect care este supus unor reguli stricte în ceea ce privește consultarea și utilizarea sa.

Prin urmare, autoritatea a opinat că citirea și utilizarea tuturor datelor de pe cardul de identitate electronic într-un context comercial reprezintă o prelucrare disproporționată în raport cu scopul creării unui card de client.

  • Fără un consimțământ valabil

Pentru a fi legală, prelucrarea datelor cu caracter personal trebuie să se bazeze pe una din cele șase baze legale ale GDPR. Comerciantul se bazează pe consimțământ ca bază legală pentru a justifica prelucrarea datelor din eID, dar Autoritatea a contestat validitatea acestuia.

Pentru a fi valabil, consimțământul trebuie să fie gratuit, specific și informat. Autoritatea a opinat că prelucrarea datelor din eID în baza consimțământului, în acest caz, nu poate fi considerat ca fiind oferit liber, deoarece clientului nu i se oferă o altă alternativă. Dacă clientul refuză să permită utilizarea cărții sale de identitate electronică pentru crearea unui card de client, acesta va fi penalizat și nu se va putea bucura de beneficii și reduceri, deoarece nu i se va oferi o alternativă.

„Companiile sau comercianții trebuie să gestioneze datele cu caracter personal mai conștient atunci când solicită tot felul de date cu caracter personal pentru un serviciu, mai ales dacă acest lucru se întâmplă fără acordul valid al clientului. GMS oferă principii și obligații care ar trebui să ghideze servesc la procesarea corectă a datelor cu caracter personal” a explicat Hielke Hijmans, președintele Camerei Disputelor a autorității de supraveghere belgiene.

O copie de buletin la preț de xerox profesional

Având în vedere nerespectarea principiului minimizării datelor prelucrate și lipsa unei baze legale valabile, autoritatea a  decis să aplice o amendă administrativă de 10.000 de euro.

„Utilizarea cărților de identitate electronice drept card de client este o practică obișnuită. Cu toate acestea, accesul la multe date cu caracter personal nu este permis în cadrul GDPR dacă nu este strict necesar pentru furnizarea unui serviciu și nu există o bază legală valabilă pentru aceasta. Camera litigiilor consideră că aceasta a fost o încălcare gravă și, prin urmare, impune o amendă” , concluzionează Hielke Hijmans, președintele Camerei Disputelor.

David Stevens, președintele autorității de supraveghere: „Această decizie este un element important așezat pe drumul către o mai bună protejare a vieții private a cetățenilor noștri”.

Gânduri de încheiere

De câte ori nu vi s-a cerut buletinul la bancă pentru a putea face o amărăciune de plată?! Poate n-or avea toate aceleași politici și nu vreau sa generalizez, însă este clar că încă suntem departe de a înțelege cum ne afectează indolența cu care împărțim date, asemeni un dealer la masa de poker, fără a fi conștienți că datele noastre sunt potul și suntem all in.

Abia când nepăsarea noastră va produse efecte, ne vom face curaj și vom îndrăzni să ne împotrivim când ne vor fi solicitate date în mod excesiv sau chiar ilegal. Însă până vom ajunge în acel punct, avem de parcurs un drum lung, anevoios, cu mersul piticului. 

Iți plac articolele dpo-NET.ro? Poți fi la curent cu toate aceste noutăți dacă ne urmărești zilnic pe paginile noastre de LinkedIn sau Facebook. 

NOU! Consultă Registrul Amenzilor GDPR pentru mai multe informații despre sancțiunile acordate în baza Regulamentului 2016/679


Acest articol este protejat de către dispoziţiile legale incidente și este interzisă copierea, reproducerea, recompilarea, modificarea, precum şi orice modalitate de exploatare a acestuia. Articolele publicate pe DPO-NET.RO pot fi preluate doar în limita a maxim 500 de caractere, fără a depăşi jumătate din totalul de caractere, şi cu citarea obligatorie a sursei, cu link activ. Orice abatere de la această regulă constituie o încălcare a Legii 8/1996 privind dreptul de autor. Dacă sunteţi interesaţi de preluarea ştirilor și articolelor publicate pe DPO-NET.RO, vă rugăm să ne contactati.

Amendă GDPR pentru sancționarea unui angajat folosind filmările făcute cu telefonul

Autoritatea de supraveghere spaniolă  a sancționat un restaurant cu amendă de 12.000 EURO pentru aplicarea unei sancțiuni disciplinare unui angajat, în baza înregistrărilor video realizate cu telefonului mobil […]

Soluții pentru managementul și securitatea dispozitivelor mobile

Telefoanele mobile și tabletele nu mai sunt doar simple gadget-uri pe care le folosim ocazional ci au devenit extensii ale noastre, fără de care nu mai putem lipsi. […]

De ce românilor nu le pasă de viața lor privată ?

La începutul săptămânii trecute citeam despre implementarea unui sistem de recunoaștere facială care va folosi camerele de monitorizare video (CCTV), webcam-urile, telefoane mobile, rețele de socializare și camere […]

Cine sunt campionii GDPR Summer Challenge 2019 ?

68 de participanți, grupati in 14 echipe, au luat startul in concursul GDPR Summer Challenge 2019 GDPR Summer Challenge este o competitie organizata de Dpo-NET.ro – Data Protection […]

Peste 500.000 Euro amendă GDPR pentru o bancă din Bulgaria

Autoritatea pentru protecția datelor cu caracter personal din Bulgaria a anuțat pe data de 28 august 2019, aplicarea unei amenzi în valoare de un milion de leva (aproximativ […]

Sursa Wall-Street.ro bănuită de Nemo Express că a participat la atacul cibernetic

Într-un drept la replică solicitat portalului Wall-Street.ro, Nemo Express confirmă un atac cibernetic care a avut drept tinta platforma myAWB, sectiunea de Confirmari, afirmând că scopul evident a […]

A început GDPR Summer Challenge 2019!

68 de participanți din 14 echipe au luat startul in concursul GDPR Summer Challenge 2019. GDPR Summer Challenge este o simulare de caz la care participă mai multe […]

AWB-urile NEMO Express sunt publice!

Portalul Wall-Street.ro a dezvăluit astăzi, 9 august 2019, o posibilă breșă de securitate în cadrul companiei de curierat Nemo Express, datele de pe documentele de transport (AWB-urile) ale […]

Alertă Bitdefender: vulnerabilitatea procesoarelor Intel

Bitdefender, companie românească producătoare de soluții de securitate cibernetică și totodată una dintre cele mai apreciate la nivel mondial, au emis astăzi o alertă ca urmare a descoperirii  […]

GDPR Summer Challenge este pregătit de lansare!

Sâmbătă, 10 August 2019, începe primul concurs național din România destinat aprofundarii și mai ales verificării cunoștințelor în domeniul protecției datelor. Scopul este ca participantii să dobândească cât […]

Te-ai înscris la GDPR Summer Challenge?

Peste 50 de persoane s-au înscris până acum în concursul „GDPR Summer Challenge”, motiv pentru care organizatorii au decis creșterea numărului de membrii într-o echipă la 5 persoane, […]

Înscrie-te acum la GDPR Summer Challenge!

Acceptă GDPRovocarea acestui sfârșit de vară! 5 echipe formate din pasionați de GDPR vor concura pentru titlul de GDPR Summer Challenge Champion 2019. Nu este doar un concurs, […]

Simona Halep a căzut „victimă” hackerilor

Conform digisport.ro, contul de Instagram al campioanei de la Wimbledon, Simona Halep, a fost spart de hackeri, fiind postat un mesaj prin care se cerea bani in numele […]

Cel mai mare furt de date din Balcani! Mai mulți români afectați.

După cum probabil ați tot citit în ultimele zile, vecini noștri de la sud de Dunăre, s-au confruntat cu cea mai mare breșă de securitate din Europa de […]

Scranos schimbă metoda de atac. România rămâne ținta preferată

Atacatorii care puseseră tunurile pe țări în care pirateria e în floare au schimbat mecanismul de infectare a victimelor ca să se ascundă și să își asigure persistența […]

Prima amendă GDPR în România

UNICREDIT BANK este prima organizație din România care este sancționată de autoritatea națională pentru încălcarea prevederilor Regulamentului general privind protecția datelor Conform comunicatului publicat azi de site-ul ANSPDCP […]

Ne lasă GDPR-ul să facem poze la evenimente școlare ?

Fotografierea la școală – În cazul în care bunul simț intră în joc Introducerea Regulamentului general privind protecția datelor (GDPR) a determinat o schimbare semnificativă a percepției populației […]

Ce facem după atacutile cibernetice asupra spitalelor românești? Nimic?

Spitalele sunt o țintă a atacurilor ransomware în toată lumea, nu doar în România. Foarte multe astfel de incidente au fost raportate de spitale în ultimii ani și […]

ICO: Amendă pentru mesaje de marketing fără consimțământ

Conform unui comunicat emis azi de Autoritatea de supraveghere a Marii Britanii (ICO), aceasta a dispus sancționarea companiei de telecomunicații EE Limited cu o amendă în valoare de […]

Un val de atacuri cibernetice vizează instituții sanitare din România

Din notificările primite, CERT-RO a identificat o creștere semnificativă a atacurilor cu aplicații malițioase de tip ransomware la nivel național în ultima perioadă, observându-se că, pe lângă utilizatorii […]