Singapurský regulační orgán pro ochranu dat udělil maloobchodníkovi Courts pokutu 178 000 S$ poté, co narušení zasáhlo téměř 1 milion zákazníků a zaměstnanců. Rozhodnutí o pokutě pro Courts za narušení dat v Singapuru poukazuje na detail, který bezpečnostní týmy často přehlížejí: útočník se s největší pravděpodobností dostal dovnitř přes servery určené k udržení provozu firmy v případě selhání jejích hlavních systémů.

Tento případ je užitečnou připomínkou, že nejslabší místo firmy nemusí být vždy to nejviditelnější. Nabízí také praktické lekce pro každého, jehož údaje jsou uloženy v databázi maloobchodníka.

Jak se útočníci dostali dovnitř přes záložní servery

Podle zprávy Straits Times se útočník s největší pravděpodobností vloupal do sítě Courts kolem 21. září 2022. Vstupním bodem nebyly primární systémy maloobchodníka. Byly to servery určené jako záložní řešení v případě selhání těchto hlavních systémů.

To je důležité, protože infrastruktura pro zálohování a obnovu po havárii obvykle zůstává v pozadí. Nemusí dostávat stejné záplaty, monitorování ani řízení přístupu jako produkční systémy, přesto však často obsahuje kopie stejných citlivých dat a je připojena ke stejné interní síti. Pro útočníka může zanedbaný záložní server představovat snadnější vstupní dveře než pečlivě střežený hlavní vchod.

Dostupné zdrojové materiály k tomuto příběhu jsou stručné, takže podrobnosti, jako je konkrétní zneužité zranitelnosti, zde nejsou pokryty. Jasný je však vzorec: infrastruktura navržená pro odolnost se může stát přítěží, pokud není zabezpečena na stejné úrovni jako vše ostatní.

Kdo byl zasažen a jaká data byla odhalena

Podle zprávy narušení zasáhlo téměř 1 milion zákazníků a zaměstnanců. Tento rozsah z něj činí významný případ v Singapuru a zahrnuje jak lidi, kteří u maloobchodníka nakupovali, tak lidi, kteří pro něj pracovali.

Shrnutí, které máme k dispozici, neuvádí každou kategorii zahrnutých dat, takže nebudeme spekulovat. Obecně platí, že maloobchodní záznamy běžně zahrnují kontaktní údaje a informace o účtu a záznamy zaměstnanců mohou obsahovat další osobní údaje. Pokud jste někdy byli zákazníkem nebo zaměstnancem Courts, nejbezpečnějším přístupem je sledovat oficiální oznámení společnosti a k jakékoli nečekané zprávě o vašem účtu přistupovat obezřetně.

Není to poprvé, co se Courts objevil v singapurských záznamech o vymáhání práva. Dřívější výsledky vyhledávání ukazují pokutu 9 000 S$ z října 2020 za selhání při ochraně osobních údajů. Nová pokuta 178 000 S$ je mnohem vyšší, i když dostupné materiály neposkytují úplný rozpis toho, jak byla částka stanovena.

Co pokuta říká o očekáváních regulátora

Pokuta byla uložena za selhání při zavedení přiměřených bezpečnostních opatření na ochranu osobních údajů, a to na základě zveřejněného seznamu rozhodnutí regulátora. Fráze „přiměřená bezpečnostní opatření“ je klíčovým standardem. Nevyžaduje dokonalost, ale očekává, že organizace zohlední všechny systémy, které uchovávají osobní údaje, nejen ty zřejmé.

Singapurský rámec umožňuje podstatné pokuty. Právní komentáře citované ve výsledcích vyhledávání uvádějí, že maximální pokuta podle zákona o ochraně osobních údajů je 1 milion S$ nebo 10 % ročního obratu organizace, podle toho, která částka je vyšší. Ve srovnání s tímto stropem je 178 000 S$ hluboko pod maximem, ale stále signalizuje, že regulátoři budou jednat, když bezpečnostní mezery vedou k rozsáhlému odhalení.

Regulátoři jinde postupují na základě podobných principů, často s mnohem vyššími částkami. Pro kontext toho, jak se vymáhání práva odehrává v Evropě, viz naše pokrytí pokuty 825 milionů eur nizozemského DPA proti Uberu a probíhajícího odvolání k irskému nejvyššímu soudu ve věci pokuty 310 milionů eur pro LinkedIn. Jurisdikce a částky se liší, ale základní poselství je konzistentní: organizace jsou odpovědné za ochranu dat, která shromažďují.

Co to znamená pro vás

Nemůžete auditovat záložní servery maloobchodníka. Můžete však omezit škody, pokud jsou vaše údaje odhaleny. Narušení, jako je toto, jen zřídkakdy skončí, když skončí titulky. Ukradená osobní data se mohou znovu objevit ve phishingových kampaních a pokusech o převzetí účtu dlouho po původním incidentu.

Hlavní rizika, na která se připravit, jsou:

  • Cílený phishing: Zprávy odkazující na skutečné nákupy nebo účty mohou vypadat přesvědčivě.
  • Opětovné použití přihlašovacích údajů: Pokud jste stejné heslo použili jinde, jedno narušení může odemknout několik účtů.
  • Vydávání se za někoho jiného: Odhalené kontaktní údaje lze použít k vydávání se za maloobchodníka nebo doručovací službu.

Všimněte si, že silné ochrany účtů nejsou všelékem. Naše zpráva o tom, jak ransomware D1R obešel dvoufaktorové ověřování v ARM, ukazuje, že útočníci se přizpůsobují, takže kombinace několika návyků funguje lépe než spoléhání se na jeden.

Co dělat po narušení maloobchodních dat

  1. Změňte opakovaně použitá hesla. Dejte každému účtu jedinečné heslo, ideálně uložené ve správci hesel.
  2. Zapněte dvoufaktorové ověřování. Kde je to možné, upřednostněte autentizační aplikaci nebo hardwarový klíč před SMS.
  3. Buďte skeptičtí k nečekaným zprávám. Neklikejte na odkazy v e-mailech nebo textech o objednávkách, vrácení peněz nebo problémech s účtem. Přejděte přímo na oficiální stránky nebo aplikaci maloobchodníka.
  4. Kontrolujte oficiální oznámení. Hledejte komunikaci od společnosti nebo regulátora, místo abyste se spoléhali na zprávy třetích stran.
  5. Sledujte své účty. Kontrolujte bankovní a kartové výpisy na neznámou aktivitu a jakékoli podezřelé skutečnosti neprodleně nahlaste.

Shrnutí

Případ pokuty pro Courts za narušení dat v Singapuru ukazuje, že systémy odolnosti si zaslouží stejnou bezpečnostní pozornost jako produkční systémy a že regulátoři očekávají, že organizace ochrání každý systém uchovávající osobní údaje. Pro jednotlivce je praktická reakce po jakémkoli maloobchodním narušení stejná: používejte jedinečná hesla, zapněte dvoufaktorové ověřování a zůstaňte ve střehu vůči phishingu. Pro širší kontext toho, jak jsou selhání ochrany dat trestána, si přečtěte naše pokrytí právních rozhodnutí EU a UK v oblasti soukromí v polovině roku a pokuty nizozemského DPA pro Uber.