Odido adatvédelmi incidens: 6,2 millió rekord került illetéktelen kezekbe
Tömeges jogi igényt nyújtottak be az Odido holland távközlési szolgáltató ellen, miután egy adatvédelmi incidens során 6,2 millió ember személyes adatai kerültek nyilvánosságra. Az ellopott rekordok bankszámlaszámokat (IBAN-okat), lakcímeket és személyazonosító okmányok számait tartalmazzák, amelyeket állítólag a dark weben tettek közzé, miután az Odido megtagadta a váltságdíj kifizetését. Az eset komoly kérdéseket vet fel azzal kapcsolatban, hogy a vállalatok meddig őrzik meg az adatokat, és mi történik, ha ezek illetéktelen kezekbe kerülnek.
Milyen adatok kerültek illetéktelen kezekbe, és miért fontos ez
Nem minden adatvédelmi incidens hordoz egyforma kockázatot. Egy kiszivárgott e-mail-cím kellemetlenség. A kiszivárgott IBAN-ok, lakcímek és hatóság által kiállított személyazonosító okmányok számai azonban egészen más kategóriát képviselnek.
Az információk ezen kombinációjával a bűnözők banki csalást kísérelhetnek meg, más nevére hitelt vehetnek fel, személyazonosság-lopást követhetnek el, vagy fizikai átverések és zaklatás céljából konkrét személyeket vehetnek célba. Az a tény, hogy ezeket az adatokat nyíltan közzétették a dark weben, tovább súlyosbítja a helyzetet: az adatok már nem egyetlen támadó kezében vannak, hanem potenciálisan mindenki számára elérhetők, aki hajlandó utánanézni.
A 6,2 millió érintett személy esetében a kockázat nem évül el. Ha érzékeny adatok bűnözői piacokon kezdenek keringeni, azokat hetekkel, hónapokkal vagy akár évekkel az eredeti incidens után is fel lehet használni.
A perindítás középpontjában álló gondatlanság-vádak
Az igényt benyújtó adatvédelmi csoportok összefogása nem csupán azt állítja, hogy az Odidónak pechje volt. A per azt állítja, hogy a vállalat két szempontból tanúsított gondatlanságot: a szükségesnél hosszabb ideig tárolt túlzott mennyiségű személyes adatot, és figyelmen kívül hagyta a korábbi biztonsági figyelmeztetéseket.
Ezek súlyos vádak, mivel rendszerszintű kudarcra utalnak, nem pedig egyszeri eseményre. Az általános adatvédelmi rendelet (GDPR) értelmében az Európai Unióban működő vállalatoknak jogilag kötelező betartaniuk az adattakarékosság elvét. Ez azt jelenti, hogy csak a szükséges adatokat szabad gyűjteni, csak addig szabad megőrizni, ameddig szükséges, és törölni kell azokat, amikor a céljuk lejár.
Ha a vádak megalapozottak, az Odido olyan adatokat tárolhatott, amelyeket nem volt jogos indoka megtartani. Ez nem csupán megfelelési probléma. Közvetlenül növeli minden bekövetkező incidens potenciális kárát. Minél több adatot halmoz fel egy vállalat, annál nagyobb célponttá válik, és annál nagyobb a kár, ha a biztonság csődöt mond.
Mit jelent ez az Ön számára
Még ha Ön nem is az Odido ügyfele, ez az eset hasznos emlékeztető arra, hogy a legtöbb embernek milyen kevés befolyása van a személyes adataira, miután azokat átadta egy szolgáltatónak.
Vannak olyan gyakorlati lépések, amelyekkel csökkentheti kitettségét:
Ellenőrizze, hogy adatai érintett-e az incidens. Az ismert adatszivárgásokat összesítő szolgáltatások lehetővé teszik, hogy e-mail-cím alapján megkeresse, megjelent-e fiókja nyilvánosan ismert szivárgásokban. Ha adatai az Odido-incidens részét képezték, szorosan kövesse nyomon bankszámláit, és fontolja meg, hogy csalásjelzést helyez el bankjánál.
Legyen válogatós azzal kapcsolatban, hogy mit oszt meg. Amikor szolgáltatásokra regisztrál, kérdőjelezze meg, hogy minden mező valóban szükséges-e. Sok vállalat a szükségesnél több adatot kér a regisztráció során. A minimális azonosító információ megadása csökkenti a kárt, ha az adott vállalatot később adatvédelmi incidens éri.
Ismerje meg GDPR szerinti jogait. Ha az EU-ban tartózkodik, vagy EU-székhelyű vállalatok által nyújtott szolgáltatásokat vett igénybe, joga van hozzáférést kérni adataihoz, javításokat kérni, és bizonyos esetekben törlést kérni. Ezek a jogok pontosan az ilyen helyzetekre léteznek.
Használjon VPN-t nyilvános és nem megbízható hálózatokon. A VPN nem akadályozza meg egy vállalat adatvédelmi incidensét, de védi az Ön által továbbított adatokat. Nyilvános Wi-Fi-n a titkosítatlan kapcsolatok lehallgathatók, ami egy újabb módja annak, hogy személyes adatok kerüljenek nyilvánosságra. A forgalom titkosítása védelmi réteget jelent az aktívan megosztott adatok számára.
Használjon erős, egyedi jelszavakat, és engedélyezze a kétfaktoros hitelesítést. Amikor a kiszivárgott adatok e-mail-címeket és jelszavakat tartalmaznak, a támadók ezeket a hitelesítő adatokat gyakran több szolgáltatásban is kipróbálják. Az egyedi jelszavak és a kétfaktoros hitelesítés megszakítja ezt a láncot.
A tágabb kép: a vállalatoknak felelősséget kell vállalniuk
Az Odido-eset egy szélesebb minta részét képezi. A távközlési szolgáltatók és a nagy szolgáltató vállalatok hatalmas mennyiségű érzékeny személyes adatot tárolnak, és biztonsági gyakorlataik nem mindig állnak arányban azzal, amit védenek.
Az ehhez hasonló tömeges jogi igények az elszámoltathatóság kikényszerítésének egyik eszközei. Ha pénzügyi felelősség kapcsolódik a gondatlan adatkezeléshez, a vállalatok erősebb ösztönzést kapnak arra, hogy befektessenek a biztonságba, csökkentsék a szükségtelen adatmegőrzést, és a figyelmeztetések alapján cselekedjenek egy incidens bekövetkezése előtt, ne pedig utána.
A fogyasztók számára a tanulság egyértelmű: nem lehet teljes mértékben ellenőrizni, hogy a vállalatok mit tesznek az adataival, de korlátozhatja, hogy mit oszt meg, megismerheti jogait, és lépéseket tehet önmaga védelme érdekében, ha ezek a vállalatok nem felelnek meg az elvárásoknak. Az Önt érintő incidensekkel kapcsolatos tájékozottság fenntartása nem paranoia. Ez egy ésszerű reakció arra a valóságra, ahogyan a személyes adatokat nagy léptékben kezelik.
