Нидерландският телекомуникационен гигант Odido е изправен пред масови правни действия след огромен пробив на данни

Колективен иск, заведен срещу нидерландския телекомуникационен доставчик Odido, привлече над 200 000 поддръжници в рамките на първите 24 часа, превръщайки го в един от най-бързо нарастващите правни искове в скорошната европейска история на защита на данните. Искът следва кибератака, при която бяха разкрити личните данни на 6,2 милиона клиенти на Odido, включително имена, домашни адреси и номера на банкови сметки IBAN. Ищците твърдят, че Odido е проявила небрежност в начина, по който е съхранявала и защитавала клиентските данни, и търсят финансово обезщетение за пробива.

За контекст, Нидерландия има население от приблизително 17 милиона души. Пробив, засягащ 6,2 милиона лица, означава, че значителна част от жителите на страната може да са имали своята чувствителна лична информация компрометирана в едно-единствено събитие.

Какви данни бяха разкрити и защо е важно

Не всички пробиви на данни носят еднакъв риск. Комбинацията от информация, разкрита при пробива на Odido, е особено тревожна, тъй като засяга детайли, които могат да бъдат използвани за кражба на самоличност и финансови измами.

Имената и адресите сами по себе си представляват сравнително нисък риск. Но в съчетание с IBAN номерата, които идентифицират индивидуални банкови сметки в цяла Европа, разкритите данни се превръщат в инструментариум за престъпници. IBAN номерата могат да бъдат използвани за иницииране на неразрешени директни дебити чрез системата за плащания SEPA, използвана в целия Европейски съюз. Измамниците с достатъчно лична информация могат също убедително да се представят за жертвите при контакт с банки, комунални услуги или правителствени агенции.

Този вид комбинирано разкриване на данни понякога се нарича набор от данни „fullz" в престъпните среди, свързани с киберпространството, като се има предвид пълен профил, съдържащ достатъчно информация, за да се представи някой друг. Колкото по-пълна е картината, толкова по-ценна е тя за злонамерените лица и толкова по-вредна е за засегнатите хора.

Пробиви на интернет доставчици срещу регистриране от интернет доставчици: две отделни опасения

Пробивът на Odido илюстрира важно разграничение, което често се губи в дискусиите за поверителност. Когато хората мислят за рисковете, свързани с техния интернет доставчик, те обикновено се фокусират върху въпроса дали техният ISP регистрира тяхната активност при сърфиране. Това е основателна загриженост, но е различен проблем от това, което се случи тук.

В този случай въпросът не е какво Odido е могла да наблюдава от онлайн поведението на клиентите. Той се отнася до административните и данните за фактуриране, които компанията е съхранявала като основно изискване за предоставяне на телекомуникационна услуга. Всеки клиент, записал се за план на Odido, е трябвало да предостави лични данни и информация за плащане. Тези данни са били съхранявани и са били недостатъчно защитени.

Това е риск, приложим за всяка компания, с която правите бизнес, не само за вашия ISP. Но интернет доставчиците са особено ценна цел, тъй като съхраняват данни за огромен брой хора, често включително данни за плащане и верифицирана информация за самоличност, която трябва да бъде точна за целите на фактурирането и правното съответствие.

Централното твърдение в правния иск — че Odido е проявила небрежност в своите практики за сигурност — стига до същността на проблема. Клиентите не са имали реална възможност да проверят как са съхранявани или защитавани техните данни. Те просто са трябвало да се доверят на компанията и изглежда, че това доверие е било неуместно.

Какво означава това за вас

Ако сте клиент на Odido, трябва да следите банковата си сметка за неразрешени транзакции и да обмислите уведомяването на банката си за пробива, за да могат да маркират подозрителна дейност. Предвид факта, че IBAN номерата са разкрити, струва си да прегледате вашите разрешения за директен дебит и да проверите дали има такива, които не разпознавате.

По-широко погледнато, пробивът на Odido е полезно напомняне, че вашата изложеност на пробиви на данни не е ограничена само до вашето собствено онлайн поведение. Дори ако сте внимателни относно това какво споделяте и къде сърфирате, компаниите, с които правите бизнес, съхраняват информация за вас и вземат свои собствени решения за сигурност без вашето участие.

Европейците имат по-силни права за защита на данните от много други региони благодарение на Общия регламент за защита на данните (GDPR). Колективният иск срещу Odido е пример за тези права, упражнявани колективно. GDPR дава на физическите лица право да търсят обезщетение за щети, причинени от нарушения на правилата за защита на данните, и бързото нарастване на този иск предполага, че много засегнати клиенти приемат това право сериозно.

Практически стъпки, които трябва да предприемете след всеки пробив на данни:

  • Проверете дали вашите данни са включени чрез услуги за уведомяване при пробиви
  • Свържете се с банката си, ако са разкрити данни за финансова сметка като IBAN номера
  • Бъдете нащрек за фишинг имейли или обаждания, които използват вашите реални лични данни, за да изглеждат легитимни
  • Прегледайте кредитния си отчет за непознати сметки или запитвания
  • Актуализирайте паролите на акаунти, споделящи същия имейл адрес или телефонен номер като компрометираната услуга

Мащабът на пробива на Odido и скоростта на правния отговор изпращат ясно послание към телекомуникационните доставчици в цяла Европа: недостатъчната сигурност на данните носи реални правни и финансови последствия. За клиентите епизодът е напомняне, че защитата на личната ви информация изисква не само добри лични навици, но и държането на организациите, съхраняващи вашите данни, отговорни, когато се провалят.