L'autorità di regolamentazione della protezione dei dati di Singapore ha multato il rivenditore Courts per 178.000 S$ dopo una violazione che ha coinvolto quasi 1 milione di clienti e dipendenti. La decisione sulla multa per la violazione dei dati di Courts a Singapore evidenzia un dettaglio che i team di sicurezza spesso trascurano: l'attaccante è molto probabilmente entrato attraverso server destinati a mantenere operativa l'azienda in caso di guasto dei suoi sistemi principali.
Il caso è un utile promemoria del fatto che il punto più debole di un'azienda non è sempre quello più visibile. Offre anche lezioni pratiche per chiunque abbia i propri dati nel database di un rivenditore.
Come gli attaccanti sono entrati attraverso i server di backup
Secondo il rapporto del Straits Times, l'attaccante è molto probabilmente penetrato nella rete di Courts intorno al 21 settembre 2022. Il punto di ingresso non erano i sistemi principali del rivenditore. Erano server destinati a fungere da riserva in caso di guasto di quei sistemi principali.
Questo è importante perché l'infrastruttura di backup e disaster recovery tende a rimanere in secondo piano. Potrebbe non ricevere le stesse patch, il stesso monitoraggio o gli stessi controlli di accesso dei sistemi di produzione, eppure spesso contiene copie degli stessi dati sensibili ed è connessa alla stessa rete interna. Per un attaccante, un server standby trascurato può essere una porta più facile di un ingresso principale fortemente sorvegliato.
Il materiale di partenza disponibile per questa storia è breve, quindi dettagli come la specifica vulnerabilità sfruttata non sono trattati qui. Ciò che è chiaro è il modello: un'infrastruttura progettata per la resilienza può diventare un peso quando non è protetta secondo lo stesso standard di tutto il resto.
Chi è stato colpito e quali dati sono stati esposti
La violazione ha colpito quasi 1 milione di clienti e dipendenti, secondo il rapporto. Questa portata ne fa un caso significativo a Singapore, e comprende sia le persone che hanno acquistato presso il rivenditore sia le persone che vi hanno lavorato.
Il riepilogo che abbiamo non elenca ogni categoria di dati coinvolti, quindi non faremo supposizioni. Come regola generale, i registri retail includono comunemente dettagli di contatto e informazioni sull'account, e i registri dei dipendenti possono includere ulteriori informazioni personali. Se sei mai stato un cliente o un dipendente di Courts, l'approccio più sicuro è prestare attenzione alle notifiche ufficiali dell'azienda e trattare con cautela qualsiasi messaggio inaspettato riguardante il tuo account.
Non è la prima volta che Courts compare nei registri di applicazione di Singapore. Risultati di ricerca precedenti mostrano una sanzione di 9.000 S$ dell'ottobre 2020 per non aver protetto i dati personali. La nuova sanzione di 178.000 S$ è molto più grande, sebbene il materiale disponibile non fornisca una ripartizione completa di come l'importo sia stato determinato.
Cosa dice la multa sulle aspettative del regolatore
La sanzione è stata imposta per non aver messo in atto misure di sicurezza ragionevoli per proteggere i dati personali, in base all'elenco delle decisioni pubblicate dal regolatore. L'espressione "misure di sicurezza ragionevoli" è lo standard chiave. Non richiede la perfezione, ma si aspetta che le organizzazioni tengano conto di tutti i sistemi che contengono dati personali, non solo di quelli ovvi.
Il quadro normativo di Singapore consente sanzioni sostanziali. I commenti legali citati nei risultati di ricerca rilevano che la multa massima ai sensi del Personal Data Protection Act è di 1 milione di S$ o del 10% del fatturato annuo di un'organizzazione, a seconda di quale sia più elevato. Rispetto a quel tetto, 178.000 S$ è ben al di sotto del massimo, ma segnala comunque che i regolatori agiranno quando le lacune di sicurezza portano a un'esposizione su larga scala.
I regolatori altrove stanno agendo secondo principi simili, spesso con cifre molto più grandi. Per un contesto su come si svolge l'applicazione in Europa, consulta la nostra copertura della multa di 825 milioni di euro dell'AP olandese contro Uber e il ricorso in corso davanti alla Corte Suprema irlandese sulla multa di 310 milioni di euro a LinkedIn. Le giurisdizioni e gli importi differiscono, ma il messaggio di fondo è coerente: le organizzazioni sono responsabili della protezione dei dati che raccolgono.
Cosa significa questo per te
Non puoi verificare i server di backup di un rivenditore. Puoi, tuttavia, limitare i danni se i tuoi dati vengono esposti. Violazioni come questa raramente finiscono quando finiscono i titoli dei giornali. I dati personali rubati possono riemergere in campagne di phishing e tentativi di takeover degli account molto tempo dopo l'incidente originale.
I principali rischi per cui prepararsi sono:
- Phishing mirato: I messaggi che fanno riferimento ad acquisti o account reali possono sembrare convincenti.
- Riuso delle credenziali: Se hai usato la stessa password altrove, una violazione può sbloccare diversi account.
- Impersonificazione: I dettagli di contatto esposti possono essere usati per fingersi il rivenditore o un servizio di consegna.
Nota che le forti protezioni degli account non sono una cura miracolosa. Il nostro rapporto su come il ransomware D1R ha aggirato l'autenticazione a due fattori presso ARM mostra che gli attaccanti si adattano, quindi combinare diverse abitudini funziona meglio che affidarsi a una sola.
Cosa fare dopo una violazione dei dati di un rivenditore
- Cambia le password riutilizzate. Assegna a ogni account la propria password univoca, idealmente memorizzata in un gestore di password.
- Attiva l'autenticazione a due fattori. Preferisci un'app di autenticazione o una chiave hardware rispetto agli SMS, ove possibile.
- Sii scettico verso i messaggi inaspettati. Non cliccare sui link in email o SMS riguardanti ordini, rimborsi o problemi dell'account. Vai direttamente al sito o all'app ufficiale del rivenditore.
- Controlla gli avvisi ufficiali. Cerca comunicazioni dall'azienda o dal regolatore invece di affidarti a messaggi di terze parti.
- Monitora i tuoi account. Esamina gli estratti conto bancari e delle carte per attività sconosciute e segnala prontamente qualsiasi cosa sospetta.
La conclusione
Il caso della multa per la violazione dei dati di Courts a Singapore dimostra che i sistemi di resilienza meritano la stessa attenzione alla sicurezza di quelli di produzione, e che i regolatori si aspettano che le organizzazioni proteggano ogni sistema che contiene dati personali. Per gli individui, la risposta pratica è la stessa dopo qualsiasi violazione nel settore retail: usa password univoche, abilita l'autenticazione a due fattori e resta vigile contro il phishing. Per un contesto più ampio su come vengono sanzionate le violazioni della protezione dei dati, leggi la nostra copertura delle sentenze sulla privacy di metà anno nell'UE e nel Regno Unito e la multa dell'AP olandese a Uber.
