Утечка данных Odido: раскрыто 6,2 миллиона записей
Против нидерландского телекоммуникационного провайдера Odido подан коллективный иск после утечки данных, в результате которой были раскрыты личные сведения 6,2 миллиона человек. Похищенные записи включают номера банковских счетов (IBAN), домашние адреса и номера удостоверений личности — все они были опубликованы в даркнете после того, как Odido отказался платить выкуп. Этот случай поднимает серьёзные вопросы о том, как долго компании хранят ваши данные и что происходит, когда эти данные попадают не в те руки.
Какие данные были похищены и почему это важно
Не все утечки данных несут одинаковый риск. Утечка адреса электронной почты — это неудобство. Утечка IBAN, физических адресов и номеров государственных удостоверений личности — совершенно иное дело.
Располагая такой комбинацией данных, злоумышленники могут совершать банковское мошенничество, открывать кредитные линии на чужое имя, похищать личности или нацеливаться на конкретных людей для физического мошенничества и преследования. То, что эти данные были открыто опубликованы в даркнете, усугубляет проблему: они больше не находятся в руках одного злоумышленника, а потенциально доступны всем желающим.
Для 6,2 миллиона пострадавших риск не исчезает со временем. Как только конфиденциальные данные попадают в криминальные маркетплейсы, их могут использовать спустя недели, месяцы и даже годы после первоначальной утечки.
Обвинения в халатности — основа судебного иска
Объединение правозащитных организаций, стоящее за этим иском, не просто утверждает, что Odido не повезло. В иске компании вменяется халатность сразу по двум пунктам: хранение избыточных персональных данных дольше необходимого и игнорирование предупреждений об уязвимостях в системе безопасности.
Это серьёзные обвинения, поскольку они свидетельствуют о системном сбое, а не о единичном инциденте. Согласно Общему регламенту о защите данных (GDPR), компании, работающие в Европейском союзе, обязаны соблюдать принцип минимизации данных. Это означает сбор только необходимых сведений, их хранение лишь в течение нужного срока и удаление по истечении этого срока.
Если обвинения подтвердятся, окажется, что Odido хранил данные, для которых у компании не было законных оснований. Это не просто вопрос соблюдения нормативных требований. Это напрямую увеличивает масштаб возможного ущерба при любой утечке. Чем больше данных накапливает компания, тем более привлекательной мишенью она становится и тем серьёзнее последствия, когда система безопасности даёт сбой.
Что это означает лично для вас
Даже если вы не являетесь клиентом Odido, этот случай наглядно напоминает о том, как мало контроля большинство людей имеет над своими персональными данными после того, как те переданы поставщику услуг.
Существуют практические шаги, которые помогут снизить вашу уязвимость:
Проверьте, не были ли скомпрометированы ваши данные. Сервисы, агрегирующие известные утечки, позволяют выполнить поиск по вашему адресу электронной почты и узнать, не попали ли ваши учётные данные в публично известные утечки. Если ваши сведения оказались в числе похищенных при взломе Odido, внимательно следите за своими банковскими счетами и рассмотрите возможность установки оповещения о мошенничестве в вашем банке.
Будьте избирательны в том, чем делитесь. При регистрации в сервисах задавайтесь вопросом, действительно ли обязателен каждый запрашиваемый параметр. Многие компании запрашивают больше данных, чем необходимо в процессе регистрации. Предоставление минимального объёма идентификационной информации снижает ущерб в случае последующей утечки у этой компании.
Знайте свои права по GDPR. Если вы проживаете в ЕС или пользовались услугами компаний, зарегистрированных в ЕС, вы вправе запросить доступ к своим данным, потребовать их исправления, а в ряде случаев — и удаления. Именно для подобных ситуаций и существуют эти права.
Используйте VPN в общедоступных и ненадёжных сетях. VPN не защитит компанию от взлома, но обеспечивает безопасность передаваемых вами данных. В публичных сетях Wi-Fi незашифрованные соединения могут быть перехвачены — это ещё один способ, которым личные данные оказываются раскрыты. Шифрование трафика добавляет уровень защиты для данных, которые вы активно передаёте.
Используйте надёжные уникальные пароли и включите двухфакторную аутентификацию. Когда похищенные данные включают адреса электронной почты и пароли, злоумышленники нередко пробуют эти учётные данные на множестве других сервисов. Уникальные пароли и двухфакторная аутентификация разрывают эту цепочку.
Общая картина: компании должны нести ответственность
Случай Odido — часть более широкой закономерности. Телекоммуникационные провайдеры и крупные сервисные компании хранят огромные объёмы конфиденциальных персональных данных, и их практика обеспечения безопасности не всегда соответствует масштабу того, что они защищают.
Коллективные иски, подобные этому, являются одним из механизмов принуждения к ответственности. Когда к халатному обращению с данными привязывается финансовая ответственность, у компаний появляется более весомый стимул инвестировать в безопасность, сокращать излишнее хранение данных и реагировать на предупреждения до того, как произойдёт утечка, а не после.
Для потребителей вывод прост: вы не можете полностью контролировать то, что компании делают с вашими данными, но вы можете ограничить объём передаваемой информации, знать свои права и принимать меры для самозащиты, когда эти компании не справляются со своими обязанностями. Быть в курсе утечек, затрагивающих вас лично, — это не паранойя. Это разумная реакция на реалии того, как персональные данные обрабатываются в масштабе.
