Az Odido holland telekommunikációs óriás tömeges jogi eljárással néz szembe hatalmas adatvédelmi incidens után
A holland Odido távközlési szolgáltató ellen indított csoportos kereset első 24 órájában több mint 200 000 támogatót vonzott, így ez az egyik leggyorsabban növekvő jogi igény a közelmúlt európai adatvédelmi történetében. A per egy kibertámadást követ, amely 6,2 millió Odido-ügyfél személyes adatait tette ki, köztük neveket, lakcímeket és IBAN bankszámlaszámokat. A felperesek azt állítják, hogy az Odido gondatlanul kezelte az ügyféladatok tárolását és védelmét, és pénzügyi kártérítést követelnek az adatvédelmi incidens miatt.
A kontextus kedvéért: Hollandia lakossága körülbelül 17 millió fő. Egy 6,2 millió embert érintő adatvédelmi incidens azt jelenti, hogy az ország lakosságának jelentős része egyetlen esemény következtében elveszíthette érzékeny személyes adatai feletti kontrollt.
Milyen adatok kerültek nyilvánosságra, és miért fontos ez
Nem minden adatvédelmi incidens hordoz azonos kockázatot. Az Odido esetében nyilvánosságra kerülő adatok kombinációja különösen aggasztó, mivel olyan részleteket tartalmaz, amelyek személyazonosság-lopáshoz és pénzügyi csaláshoz használhatók fel.
A nevek és lakcímek önmagukban viszonylag alacsony kockázatot jelentenek. Ám az IBAN-számokkal párosítva – amelyek az egész Európában egyedi bankszámlákat azonosítanak – a kiszivárgott adatok bűnözők kezében igazi eszköztárrá válnak. Az IBAN-számok felhasználhatók jogosulatlan csoportos beszedési megbízások kezdeményezésére az Európai Unióban alkalmazott SEPA fizetési rendszeren keresztül. A kellő személyes adatokkal rendelkező csalók ráadásul meggyőzően megszemélyesíthetik az áldozatokat, amikor bankokat, közüzemi szolgáltatókat vagy kormányzati szerveket keresnek meg.
Az ilyen jellegű, kombinált adatkiszivárgást a kiberbűnözők körében néha „fullz" adatkészletnek nevezik, utalva arra a teljes profilra, amely elegendő információt tartalmaz valaki megszemélyesítéséhez. Minél teljesebb a kép, annál értékesebb a rossz szándékú szereplők számára – és annál nagyobb kárt okoz az érintett személyeknek.
Internetszolgáltatói adatszivárgás vs. internetszolgáltatói naplózás: két különböző probléma
Az Odido-incidens rávilágít egy fontos különbségre, amely az adatvédelmi vitákban gyakran elvész. Amikor az emberek az internetszolgáltatójukhoz kapcsolódó kockázatokra gondolnak, általában arra a kérdésre összpontosítanak, hogy az internetszolgáltató naplózza-e a böngészési tevékenységüket. Ez jogos aggodalom, de különbözik attól, ami itt történt.
Ebben az esetben nem arról van szó, hogy az Odido mit láthatott az ügyfelek online tevékenységéből. Hanem arról, hogy a vállalat által egy telekommunikációs szolgáltatás nyújtásának alapvető követelményeként tárolt adminisztratív és számlázási adatokról. Minden ügyfélnek, aki Odido-csomagot igényelt, meg kellett adnia személyes adatait és fizetési információit. Ezeket az adatokat tárolták, és nem megfelelően védték.
Ez a kockázat minden olyan vállalatra vonatkozik, amellyel üzleti kapcsolatban állunk, nem csak az internetszolgáltatóra. Az internetszolgáltatók azonban különösen értékes célpontot jelentenek, mivel hatalmas számú ember adatait kezelik – sokszor olyan fizetési adatokat és ellenőrzött személyazonosság-információkat is, amelyeknek pontosnak kell lenniük a számlázási és jogi megfelelési követelmények teljesítéséhez.
A jogi eljárás fő állítása – miszerint az Odido gondatlan volt biztonsági gyakorlatában – a probléma lényegére mutat rá. Az ügyfeleknek nem volt érdemi lehetőségük arra, hogy ellenőrizzék adataik tárolását vagy védelmét. Egyszerűen meg kellett bízniuk a vállalatban – és úgy tűnik, ez a bizalom megalapozatlan volt.
Mit jelent ez az Ön számára
Ha Ön Odido-ügyfél, figyelje bankszámláját a jogosulatlan tranzakciók szempontjából, és fontolja meg, hogy értesíti bankját az incidensről, hogy gyanús tevékenység esetén riasztást tudjanak beállítani. Mivel IBAN-számok is kiszivárogtak, érdemes átnézni a csoportos beszedési megbízásait, és ellenőrizni, hogy vannak-e köztük olyanok, amelyeket nem ismer fel.
Tágabb értelemben az Odido-incidens hasznos emlékeztető arra, hogy az adatvédelmi incidenseknek való kitettség nem korlátozódik saját online viselkedésünkre. Még ha körültekintő is az ember abban, hogy mit oszt meg és hol böngészik, az általa igénybe vett vállalatok adatokat tárolnak róla, és saját biztonsági döntéseket hoznak az Ön bevonása nélkül.
Az európaiak az Általános Adatvédelmi Rendeletnek (GDPR) köszönhetően erősebb adatvédelmi jogokkal rendelkeznek, mint sok más régióban élők. Az Odido ellen indított csoportos kereset példa arra, hogy ezeket a jogokat kollektívan érvényesítik. A GDPR feljogosítja az egyéneket arra, hogy kártérítést kérjenek az adatvédelmi szabályok megsértéséből eredő károkért, és a kérelem gyors terjedése azt jelzi, hogy sok érintett ügyfél komolyan veszi ezt a jogot.
Gyakorlati lépések bármilyen adatvédelmi incidens után:
- Ellenőrizze, hogy adatai érintett-e az incidens által adatvédelmi értesítési szolgáltatások segítségével
- Vegye fel a kapcsolatot bankjával, ha pénzügyi számlaadatok, például IBAN-számok kerültek nyilvánosságra
- Legyen éber az adathalász e-mailekkel vagy hívásokkal szemben, amelyek valódi személyes adatait használják, hogy hitelesnek tűnjenek
- Ellenőrizze hiteljelentését ismeretlen számlák vagy megkeresések szempontjából
- Frissítse azon fiókok jelszavait, amelyek ugyanazt az e-mail-címet vagy telefonszámot osztják meg, mint az érintett szolgáltatás
Az Odido-incidens mérete és a jogi válasz gyorsasága egyértelmű üzenetet küld az európai távközlési szolgáltatóknak: a nem megfelelő adatbiztonság valós jogi és pénzügyi következményekkel jár. Az ügyfelek számára az eset emlékeztető arra, hogy személyes adataik védelme nem csupán jó személyes szokásokat igényel, hanem azt is, hogy felelősségre vonják azokat a szervezeteket, amelyek adataikat kezelik, ha nem tesznek eleget kötelezettségeiknek.
