Autoritatea de reglementare a protecției datelor din Singapore a amendat retailerul Courts cu 178.000 S$ după o breșă care a afectat aproape 1 milion de clienți și angajați. Decizia privind amenda pentru breșa de date de la Courts din Singapore indică un detaliu pe care echipele de securitate îl ignoră adesea: atacatorul a intrat cel mai probabil prin servere menite să mențină afacerea funcțională în cazul în care sistemele principale ar fi eșuat.

Cazul este un memento util că punctul cel mai slab al unei companii nu este întotdeauna cel mai vizibil. De asemenea, oferă lecții practice pentru oricine ale cărui date se află într-o bază de date a unui retailer.

Cum au intrat atacatorii prin serverele de backup

Potrivit raportului din Straits Times, atacatorul a pătruns cel mai probabil în rețeaua Courts în jurul datei de 21 septembrie 2022. Punctul de intrare nu au fost sistemele principale ale retailerului. Au fost servere destinate să acționeze ca soluție de rezervă în cazul în care acele sisteme principale ar fi eșuat.

Acest lucru contează deoarece infrastructura de backup și de recuperare în caz de dezastru tinde să rămână în plan secund. Este posibil să nu beneficieze de aceleași actualizări, monitorizare sau controale de acces ca sistemele de producție, însă adesea deține copii ale acelorași date sensibile și se conectează la aceeași rețea internă. Pentru un atacator, un server de rezervă neglijat poate fi o ușă mai ușoară decât o intrare principală puternic supravegheată.

Materialul sursă disponibil pentru această poveste este scurt, astfel încât detalii precum vulnerabilitatea specifică exploatată nu sunt acoperite aici. Ceea ce este clar este tiparul: infrastructura concepută pentru reziliență poate deveni o povară atunci când nu este securizată la același standard ca tot restul.

Cine a fost afectat și ce date au fost expuse

Breșa a afectat aproape 1 milion de clienți și angajați, potrivit raportului. Această amploare o face un caz semnificativ în Singapore și include atât persoane care au cumpărat de la retailer, cât și persoane care au lucrat pentru acesta.

Rezumatul pe care îl avem nu detaliază fiecare categorie de date implicate, așa că nu vom specula. Ca regulă generală, evidențele retailului includ în mod obișnuit date de contact și informații despre cont, iar evidențele angajaților pot include informații personale suplimentare. Dacă ați fost vreodată client sau angajat al Courts, abordarea cea mai sigură este să urmăriți notificările oficiale din partea companiei și să tratați cu prudență orice mesaj neașteptat despre contul dumneavoastră.

Aceasta nu este prima dată când Courts apare în evidențele de aplicare a legii din Singapore. Rezultatele anterioare ale căutărilor arată o penalitate de 9.000 S$ din octombrie 2020 pentru nerespectarea obligației de a proteja datele personale. Noua penalitate de 178.000 S$ este mult mai mare, deși materialul disponibil nu oferă o defalcare completă a modului în care a fost stabilită suma.

Ce spune amenda despre așteptările autorității de reglementare

Penalitatea a fost impusă pentru nerespectarea obligației de a institui măsuri de securitate rezonabile pentru protejarea datelor personale, conform listei deciziilor publicate de autoritatea de reglementare. Sintagma „măsuri de securitate rezonabile" este standardul-cheie. Aceasta nu solicită perfecțiune, dar așteaptă de la organizații să ia în considerare toate sistemele care dețin date personale, nu doar pe cele evidente.

Cadrul legislativ din Singapore permite penalități substanțiale. Comentariul juridic citat în rezultatele căutărilor notează că amenda maximă conform Legii privind protecția datelor personale este de 1 milion S$ sau 10% din cifra de afaceri anuală a unei organizații, oricare dintre acestea este mai mare. Raportat la acest plafon, suma de 178.000 S$ este mult sub maxim, dar semnalează totuși că autoritățile de reglementare vor acționa atunci când lacunele de securitate duc la expuneri pe scară largă.

Autoritățile de reglementare din alte părți acționează pe principii similare, adesea cu sume mult mai mari. Pentru context despre modul în care se aplică sancțiunile în Europa, consultați materialul nostru despre amenda de 825 milioane EUR a DPA olandeze împotriva Uber și recursul în curs la Curtea Supremă irlandeză privind amenda de 310 milioane EUR a LinkedIn. Jurisdicțiile și sumele diferă, dar mesajul de fond este consecvent: organizațiile sunt responsabile pentru protejarea datelor pe care le colectează.

Ce înseamnă acest lucru pentru dumneavoastră

Nu puteți audita serverele de backup ale unui retailer. Puteți însă limita pagubele dacă datele dumneavoastră sunt expuse. Breșele ca aceasta rareori se încheie odată cu titlurile din presă. Datele personale furate pot reapărea în campanii de phishing și încercări de preluare a conturilor mult timp după incidentul inițial.

Principalele riscuri pentru care trebuie să vă pregătiți sunt:

  • Phishing țintit: Mesajele care fac referire la achiziții sau conturi reale pot părea convingătoare.
  • Reutilizarea acreditărilor: Dacă ați folosit aceeași parolă în altă parte, o singură breșă poate debloca mai multe conturi.
  • Uzurparea identității: Datele de contact expuse pot fi folosite pentru a se da drept retailerul sau un serviciu de livrare.

Rețineți că protecțiile puternice ale conturilor nu sunt o soluție universală. Raportul nostru despre modul în care ransomware-ul D1R a ocolit autentificarea cu doi factori la ARM arată că atacatorii se adaptează, așa că combinarea mai multor obiceiuri funcționează mai bine decât bazarea pe unul singur.

Ce să faceți după o breșă de date la un retailer

  1. Schimbați parolele reutilizate. Acordați fiecărui cont propria parolă unică, ideal stocată într-un manager de parole.
  2. Activați autentificarea cu doi factori. Preferați o aplicație de autentificare sau o cheie hardware în locul SMS-ului, acolo unde este posibil.
  3. Fiți sceptici față de mesajele neașteptate. Nu faceți clic pe linkuri din e-mailuri sau mesaje text despre comenzi, rambursări sau probleme de cont. Accesați direct site-ul oficial sau aplicația retailerului.
  4. Verificați notificările oficiale. Urmăriți comunicările din partea companiei sau a autorității de reglementare, în loc să vă bazați pe mesaje terțe.
  5. Monitorizați-vă conturile. Verificați extrasele bancare și de card pentru activități nefamiliare și raportați prompt orice lucru suspect.

Concluzia

Cazul amenzii pentru breșa de date de la Courts din Singapore arată că sistemele de reziliență merită aceeași atenție din punct de vedere al securității ca cele de producție și că autoritățile de reglementare așteaptă de la organizații să protejeze fiecare sistem care deține date personale. Pentru persoanele fizice, răspunsul practic este același după orice breșă la un retailer: folosiți parole unice, activați autentificarea cu doi factori și rămâneți vigilenți la phishing. Pentru context mai amplu despre modul în care sunt sancționate deficiențele de protecție a datelor, citiți materialul nostru despre hotărârile de la jumătatea anului privind confidențialitatea în UE și Regatul Unit și despre amenda Uber a DPA olandeze.