Singapurski regulator za zaštitu podataka kaznio je trgovca Courts s 178.000 S$ nakon proboja koji je pogodio gotovo milijun kupaca i zaposlenika. Odluka o novčanoj kazni za proboj podataka u Courtsu u Singapuru upućuje na detalj koji sigurnosni timovi često previđaju: napadač je najvjerojatnije ušao kroz poslužitelje namijenjene održavanju poslovanja u radu ako njegovi glavni sustavi zakažu.
Slučaj je koristan podsjetnik da najslabija točka tvrtke nije uvijek njezina najvidljivija točka. Također nudi praktične lekcije svima čiji se podaci nalaze u bazi podataka nekog trgovca.
Kako su napadači ušli kroz rezervne poslužitelje
Prema izvješću Straits Timesa, napadač je najvjerojatnije provalio u mrežu Courtsa oko 21. rujna 2022. Ulazna točka nisu bili primarni sustavi trgovca. Bili su to poslužitelji namijenjeni da djeluju kao rezerva ako ti glavni sustavi zakažu.
To je važno jer infrastruktura za sigurnosne kopije i oporavak od katastrofa obično stoji u pozadini. Možda ne dobiva isto zakrpanje, nadzor ili kontrole pristupa kao proizvodni sustavi, a ipak često sadrži kopije istih osjetljivih podataka i povezana je s istom internom mrežom. Za napadača, zanemareni pričuvni poslužitelj može biti lakša vrata od pomno čuvanog glavnog ulaza.
Izvorni materijal dostupan za ovu priču je kratak, pa detalji poput konkretne iskorištene ranjivosti ovdje nisu obrađeni. Ono što je jasno jest obrazac: infrastruktura osmišljena za otpornost može postati teret kada nije zaštićena prema istom standardu kao sve ostalo.
Koga je pogodilo i koji su podaci izloženi
Proboj je pogodio gotovo milijun kupaca i zaposlenika, prema izvješću. Taj razmjer čini ga značajnim slučajem u Singapuru, a uključuje i ljude koji su kupovali kod trgovca i ljude koji su radili za njega.
Sažetak koji imamo ne navodi pojedinačno svaku kategoriju uključenih podataka, pa nećemo nagađati. Kao opće pravilo, maloprodajni zapisi obično uključuju kontaktne podatke i podatke o računu, a zapisi o zaposlenicima mogu uključivati dodatne osobne podatke. Ako ste ikada bili kupac ili zaposlenik Courtsa, najsigurniji pristup je pratiti službene obavijesti tvrtke i s oprezom tretirati svaku neočekivanu poruku o vašem računu.
Ovo nije prvi put da se Courts pojavljuje u singapurskim evidencijama provedbe. Raniji rezultati pretraživanja pokazuju kaznu od 9.000 S$ iz listopada 2020. zbog neuspjeha u zaštiti osobnih podataka. Nova kazna od 178.000 S$ daleko je veća, iako dostupni materijal ne daje potpuni pregled kako je iznos određen.
Što kazna govori o očekivanjima regulatora
Kazna je izrečena zbog neuspjeha u uspostavljanju razumnih sigurnosnih mjera za zaštitu osobnih podataka, na temelju objavljenog popisa odluka regulatora. Izraz "razumne sigurnosne mjere" ključni je standard. Ne zahtijeva savršenstvo, ali očekuje da organizacije uzmu u obzir sve sustave koji sadrže osobne podatke, ne samo očite.
Singapurski okvir dopušta znatne kazne. Pravni komentari citirani u rezultatima pretraživanja navode da je najveća kazna prema Zakonu o zaštiti osobnih podataka 1 milijun S$ ili 10% godišnjeg prometa organizacije, ovisno o tome što je više. U odnosu na taj gornji limit, 178.000 S$ znatno je ispod maksimuma, ali ipak signalizira da će regulatori djelovati kada sigurnosne praznine dovedu do izlaganja velikih razmjera.
Regulatori drugdje djeluju na sličnim načelima, često s mnogo većim iznosima. Za kontekst o tome kako se provedba odvija u Europi, pogledajte našu reportažu o kazni nizozemskog DPA-a od 825 milijuna eura protiv Ubera i aktualnu žalbu irskog Vrhovnog suda u vezi s kaznom LinkedIna od 310 milijuna eura. Jurisdikcije i iznosi razlikuju se, ali temeljna poruka je dosljedna: organizacije su odgovorne za zaštitu podataka koje prikupljaju.
Što to znači za vas
Ne možete revidirati rezervne poslužitelje trgovca. Možete, međutim, ograničiti štetu ako su vaši podaci izloženi. Proboji poput ovog rijetko završavaju kada završe naslovi. Ukradeni osobni podaci mogu se ponovno pojaviti u phishing kampanjama i pokušajima preuzimanja računa dugo nakon izvornog incidenta.
Glavni rizici na koje treba računati su:
- Ciljani phishing: Poruke koje spominju stvarne kupnje ili račune mogu izgledati uvjerljivo.
- Ponovna uporaba vjerodajnica: Ako ste istu lozinku koristili drugdje, jedan proboj može otključati nekoliko računa.
- Lažno predstavljanje: Izloženi kontaktni podaci mogu se iskoristiti za predstavljanje kao trgovac ili dostavna služba.
Imajte na umu da jake zaštite računa nisu univerzalni lijek. Naše izvješće o tome kako je ransomware D1R zaobišao dvofaktorsku autentifikaciju u ARM-u pokazuje da se napadači prilagođavaju, pa kombiniranje nekoliko navika djeluje bolje od oslanjanja na jednu.
Što učiniti nakon proboja podataka u maloprodaji
- Promijenite ponovno korištene lozinke. Svakom računu dajte vlastitu jedinstvenu lozinku, idealno pohranjenu u upravitelju lozinki.
- Uključite dvofaktorsku autentifikaciju. Gdje je moguće, preferirajte aplikaciju za autentifikaciju ili hardverski ključ umjesto SMS-a.
- Budite skeptični prema neočekivanim porukama. Ne klikajte na poveznice u e-porukama ili tekstualnim porukama o narudžbama, povratima ili problemima s računom. Idite izravno na službenu stranicu ili aplikaciju trgovca.
- Provjerite službene obavijesti. Tražite komunikaciju tvrtke ili regulatora umjesto oslanjanja na poruke trećih strana.
- Nadzirite svoje račune. Pregledajte bankovne izvatke i izvatke kartica na nepoznate aktivnosti i odmah prijavite sve sumnjivo.
Ključni zaključak
Slučaj novčane kazne za proboj podataka u Courtsu u Singapuru pokazuje da sustavi otpornosti zaslužuju istu sigurnosnu pažnju kao proizvodni sustavi i da regulatori očekuju da organizacije zaštite svaki sustav koji sadrži osobne podatke. Za pojedince je praktični odgovor isti nakon svakog proboja u maloprodaji: koristite jedinstvene lozinke, omogućite dvofaktorsku autentifikaciju i ostanite na oprezu prema phishingu. Za širi kontekst o tome kako se kažnjavaju propusti u zaštiti podataka, pročitajte našu reportažu o srednjogodišnjim odlukama o privatnosti u EU-u i Ujedinjenom Kraljevstvu i kazni nizozemskog DPA-a za Uber.
