Пробив в данните на Odido: Изложени са 6,2 милиона записа
Колективен иск е подаден срещу нидерландския телекомуникационен доставчик Odido, след като пробив в данните разкри личната информация на 6,2 милиона души. Откраднатите записи включват номера на банкови сметки (IBAN), домашни адреси и номера на документи за самоличност — всички те са публикувани в тъмната мрежа, след като Odido отказа да плати откуп. Случаят повдига сериозни въпроси относно това колко дълго компаниите съхраняват вашите данни и какво се случва, когато те попаднат в грешни ръце.
Какви данни са откраднати и защо това е важно
Не всички пробиви в данните носят еднакъв риск. Изтекъл имейл адрес е неудобство. Изтекли IBAN номера, физически адреси и номера на официални документи за самоличност са съвсем различен въпрос.
С тази комбинация от информация престъпниците могат да се опитат да извършат банкова измама, да открият кредитни линии на нечие друго име, да извършат кражба на самоличност или да преследват лица с физически измами и тормоз. Фактът, че тези данни са публикувани открито в тъмната мрежа, допълнително задълбочава проблема: те вече не са в ръцете на един единствен нападател, а са потенциално достъпни за всеки, който е готов да потърси.
За 6,2-та милиона засегнати хора рискът не изтича. Веднъж попаднали в обращение в криминалните пазари, чувствителните данни могат да бъдат използвани седмици, месеци или дори години след първоначалния пробив.
Твърденията за небрежност в основата на иска
Колективът от организации за защита на личните данни, стоящ зад иска, не просто твърди, че Odido е имал лош късмет. Искът обвинява компанията в небрежност по два пункта: съхранение на прекомерно количество лични данни за по-дълго от необходимото и игнориране на предварителни предупреждения за сигурност.
Това са сериозни обвинения, тъй като говорят за системен провал, а не за еднократен инцидент. Съгласно Общия регламент за защита на данните (GDPR), компаниите, опериращи в Европейския съюз, са законово задължени да спазват принципа за минимизиране на данните. Това означава събиране само на необходимото, съхранение само докато е нужно и изтриване след изтичане на тази цел.
Ако обвиненията се потвърдят, Odido може да е задържал данни, за чието съхранение не е имал законово основание. Това не е само проблем с нормативното съответствие. То директно увеличава потенциалните щети при всеки настъпил пробив. Колкото повече данни трупа дадена компания, толкова по-голяма мишена се превръща и толкова по-големи са вредите при провал в сигурността.
Какво означава това за вас
Дори да не сте клиент на Odido, този случай е полезно напомняне за това колко малък контрол имат повечето хора върху личните си данни, след като веднъж са ги предоставили на доставчик на услуги.
Има практически стъпки, които можете да предприемете, за да намалите излагането си на риск:
Проверете дали вашите данни са компрометирани. Услуги, които обобщават данни за известни пробиви, ви позволяват да търсите своя имейл адрес и да разберете дали идентификационните ви данни са се появили в публично известни изтичания. Ако вашата информация е засегната от пробива в Odido, следете внимателно банковите си сметки и обмислете поставянето на предупреждение за измама в банката си.
Бъдете избирателни относно това, което споделяте. При регистрация за услуги, задайте си въпроса дали всяко поле наистина е задължително. Много компании изискват повече данни, отколкото са им необходими при регистрацията. Предоставянето на минимум идентифицираща информация намалява щетите, ако по-късно тази компания бъде засегната от пробив.
Разберете правата си по GDPR. Ако се намирате в ЕС или сте използвали услуги, предоставяни от компании в ЕС, имате право да поискате достъп до своите данни, да поискате корекции и в някои случаи да поискате изтриване. Тези права съществуват именно за ситуации като тази.
Използвайте VPN в обществени и ненадеждни мрежи. VPN няма да предотврати пробив при дадена компания, но защитава данните, които предавате. В обществени Wi-Fi мрежи некриптираните връзки могат да бъдат прихванати, което е още един начин, по който личните данни се оказват изложени. Криптирането на трафика ви добавя допълнителен слой защита за данните, които активно споделяте.
Използвайте силни, уникални пароли и активирайте двуфакторно удостоверяване. Когато изтеклите данни включват имейл адреси и пароли, нападателите често опитват тези идентификационни данни в различни услуги. Уникалните пароли и двуфакторното удостоверяване прекъсват тази верига.
По-голямата картина: Компаниите трябва да бъдат подведени под отговорност
Случаят с Odido е част от по-широк модел. Телекомуникационните доставчици и големите компании за услуги съхраняват огромни количества чувствителни лични данни, като практиките им за сигурност не винаги съответстват на мащаба на това, което защитават.
Колективни искове като този са един механизъм за налагане на отговорност. Когато с небрежното боравене с данни се свързва финансова отговорност, компаниите имат по-силен стимул да инвестират в сигурност, да намалят ненужното съхранение на данни и да реагират на предупрежденията преди да настъпи пробив, а не след това.
За потребителите изводът е ясен: не можете напълно да контролирате какво правят компаниите с вашите данни, но можете да ограничите това, което споделяте, да познавате правата си и да предприемете стъпки за самозащита, когато тези компании се провалят. Да бъдете информирани за пробиви, които ви засягат, не е параноя. Това е разумен отговор на реалността за начина, по който личните данни се обработват в голям мащаб.
