Povreda podataka Odido: Izloženo 6,2 milijuna zapisa
Pokrenuta je masovna tužba protiv nizozemskog telekomunikacijskog pružatelja usluga Odido nakon što je povreda podataka izložila osobne podatke 6,2 milijuna ljudi. Ukradeni zapisi uključuju brojeve bankovnih računa (IBAN-ove), kućne adrese i brojeve osobnih dokumenata, koji su, prema navodima, objavljeni na dark webu nakon što je Odido odbio platiti otkupninu. Slučaj pokreće ozbiljna pitanja o tome koliko dugo tvrtke čuvaju vaše podatke i što se događa kada ti podaci dospeju u pogrešne ruke.
Koji su podaci preuzeti i zašto je to važno
Nisu sve povrede podataka jednako rizične. Procurjela e-mail adresa je neugodnost. Procurjeli IBAN-ovi, fizičke adrese i brojevi službenih osobnih dokumenata sasvim su druga stvar.
S ovom kombinacijom informacija, kriminalci mogu pokušati bankarske prijevare, otvoriti kreditne linije na tuđe ime, počiniti krađu identiteta ili ciljati pojedince fizičkim prevarama i uznemiravanjem. Činjenica da su ti podaci javno objavljeni na dark webu dodatno pogoršava situaciju: više nisu u rukama jednog napadača, već su potencijalno dostupni svakome tko ih želi pronaći.
Za 6,2 milijuna pogođenih osoba rizik ne prestaje. Kada osjetljivi podaci jednom počnu kružiti kriminalnim tržištima, mogu biti iskorišteni tjednima, mjesecima ili čak godinama nakon izvorne povrede.
Navodi o nemaru u srži tužbe
Kolektiv privatnih skupina koje stoje iza tužbe ne tvrdi jednostavno da je Odido bio nesretan. Tužba navodi da je tvrtka bila nemarna u dva pogleda: pohranjavala je prekomjerne osobne podatke dulje nego što je potrebno i ignorirala je prethodna sigurnosna upozorenja.
Ovi su navodi značajni jer ukazuju na sustavni propust, a ne na jednokratni incident. Prema Općoj uredbi o zaštiti podataka (GDPR), tvrtke koje posluju u Europskoj uniji zakonski su obvezne pridržavati se načela minimizacije podataka. To znači prikupljati samo ono što je nužno, čuvati podatke samo onoliko dugo koliko je potrebno i brisati ih kada svrha istekne.
Ako se navodi potvrde, Odido je možda čuvao podatke za koje nije imao legitiman razlog. To nije samo pitanje usklađenosti. To izravno povećava potencijalnu štetu svake povrede koja se dogodi. Što više podataka tvrtka gomila, veća je meta i veća šteta kada sigurnost zakaže.
Što to znači za vas
Čak i ako niste korisnik Odida, ovaj slučaj korisno podsjeća na to koliko malo kontrole većina ljudi ima nad svojim osobnim podacima nakon što ih je predala pružatelju usluga.
Postoje praktični koraci koje možete poduzeti kako biste smanjili svoju izloženost:
Provjerite jesu li vaši podaci ugroženi. Usluge koje agregiraju poznate podatke o povredama omogućuju vam pretraživanje vaše e-mail adrese kako biste saznali je li se pojavila u javno poznatim curenjima. Ako su vaši podaci bili dio povrede Odido, trebate pozorno pratiti svoje bankovne račune i razmisliti o postavljanju upozorenja o prijevari kod svoje banke.
Budite selektivni u pogledu onoga što dijelite. Kada se prijavljujete za usluge, preispitajte je li svako polje doista obvezno. Mnoge tvrtke traže više podataka nego što im je potrebno pri registraciji. Pružanje minimalnih identifikacijskih podataka smanjuje štetu ako ta tvrtka naknadno doživi povredu.
Upoznajte svoja prava prema GDPR-u. Ako ste u EU ili ste koristili usluge tvrtki sa sjedištem u EU, imate pravo zatražiti pristup svojim podacima, tražiti ispravke i u nekim slučajevima zatražiti brisanje. Ta prava postoje upravo za ovakve situacije.
Koristite VPN na javnim i nepouzdanim mrežama. VPN neće spriječiti povredu podataka tvrtke, ali štiti podatke koje prenosite. Na javnom Wi-Fi-ju, nešifrirane veze mogu biti presretnute, što je još jedan način na koji osobni podaci bivaju izloženi. Šifriranje vašeg prometa dodaje sloj zaštite za podatke koje aktivno dijelite.
Koristite snažne, jedinstvene lozinke i omogućite dvofaktorsku autentifikaciju. Kada procurjeli podaci uključuju e-mail adrese i lozinke, napadači često isprobavaju te vjerodajnice na više usluga. Jedinstvene lozinke i 2FA prekidaju taj lanac.
Šira slika: Tvrtke moraju biti odgovorne
Slučaj Odido dio je šireg uzorka. Telekomunikacijski pružatelji i velike uslužne tvrtke čuvaju goleme količine osjetljivih osobnih podataka, a njihove sigurnosne prakse ne odgovaraju uvijek opsegu onoga što štite.
Masovne tužbe poput ove jedan su od mehanizama za nametanje odgovornosti. Kada je financijska odgovornost vezana uz nemarno postupanje s podacima, tvrtke imaju jači poticaj ulagati u sigurnost, smanjiti nepotrebno čuvanje podataka i reagirati na upozorenja prije nego što dođe do povrede, a ne nakon.
Za potrošače, poruka je jasna: ne možete u potpunosti kontrolirati što tvrtke rade s vašim podacima, ali možete ograničiti što dijelite, poznavati svoja prava i poduzeti korake za zaštitu kad te tvrtke zakaže. Biti informiran o povredama koje vas se tiču nije paranoja. To je razuman odgovor na stvarnost načina na koji se osobni podaci obrađuju u velikim razmjerima.
