Rafał Kosuń

Inspektor Ochrony Danych, specjalista ds. bezpieczeństwa, audytor wiodący ISO, analityk biznesowy, członek Stowarzyszenia Praktyków Ochrony Danych, fan firmy DataLex

Największa kara RODO dla British Airways – „zimne” procedury bezpieczeństwa?

Strona Brytyjskich Linii Lotniczych ba.com została zmodyfikowana przez włamywaczy, którzy
najprawdopodobniej mieli do niej dostęp długo przed atakiem. Nieautoryzowany dostęp to zawsze
ogromne zagrożenie dla bezpieczeństwa danych co skutkować może wieloma konsekwencjami, z bankructwem zaatakowanej firmy włącznie!

Włamywacze umieścili skrypt wykradający dane użytkowników z formularza służącego do realizacji płatności. Skrypt ten to stosunkowo znany tzw. skimmer internetowy czyli fragment kodu wykradającego dane.

Złośliwy skrypt wykradał dane kart płatniczych oraz informacje o osobach dokonujących płatności i wysyłał te dane na serwer baways.com, który hostowany był na jednym z serwerów w Rumunii, który jest częścią dostawcy Time4VPS z siedziba na Litwie. Atak rozpoczął się dokładnie 21 sierpnia 2018 o 22:58 brytyjskiego czasu letniego i trwał 15 dni kończąc się 5 września 2018 o 21:45 BST.

W czasie tych 15 dni wykradziono dane 500 tysięcy klientów British Airways z całego świata.

Od czasu ujawnienia informacji o wycieku, brytyjski organ nadzorczy ICO utrzymywał, że planuje ukarać firmę kwotą 183 mln funtów. Ostatecznie zapowiedź organu została dokonana i zobowiązanie zapłaty w pełnej wysokości, tj. 204 mln € czyli 867 mln zł trafiło do firmy.

British Airways będzie korzystał ze wszystkich możliwości uniknięcia kary, włącznie z odwołaniem się od decyzji organu do sądu.

Subiektywny komentarz DataLex

Przed czasami RODO informacje o atakach na firmy i wyciekach danych osobowych nie docierały do nas tak często i szczegółowo. Dzisiaj, w czasach obowiązywania RODO większość poważnych wycieków wypływa na światło dzienne, dzięki czemu każdy z nas możne zapoznać się ze szczegółami tych ataków i WYCIĄGAĆ z nich wnioski!

A wnioski są takie, że niedomknięte okna i drzwi to zaproszenie dla złodziei, z tą jednak różnicą, że kradzież sprzętu w swych konsekwencjach jest niczym w porównaniu z kradzieżą danych. Brak dobrych procedur lub ich nieprzestrzeganie, brak świadomości o zagrożeniach oraz sposobach, którymi możemy je na siebie ściągnąć, brak szkoleń i aktywnego podejścia do bezpieczeństwa danych naszych i naszych klientów prędzej czy później NA PEWNO skutkować będzie mniejszą lub większą katastrofą. Nie ma innego wyjścia i nie powinniśmy łudzić się, że nas to nie dotyczy. Dotyczy bez wyjątku każdego z nas, każdą firmę i instytucję.

Chcesz się przekonać? Prosty sposób! Wejdź na stronę https://haveibeenpwned.com i wpisz w wyszukiwarce swój adres e-mail. Sprawdź czy Twój e-mail oraz Twoje hasło i inne dane są już w rękach hakerów. Serwis jest po tej dobrej stronie, więc możesz wpisać adres bez obaw - przynajmniej do czasu gdy nie zostanie zhackowany 😉

Dzisiaj rynek cyberprzestępczy to ogromne farmy silnie dofinansowanych firm, zatrudniających najwyższej klasy specjalistów pracujących w trybie full time job, budujących skuteczne metody ataków, poszukujących metod obejścia zabezpieczeń, programujących specjalistyczne oprogramowanie. Specjalistów od socjotechnik na które podatni jesteśmy wszyscy, bez wyjątku!

Nie wierzysz?

Firmom tym przeciwstawiamy całą branżę cyberbezpieczeństwa i jest to niekończąca się, często nierówna walka, w której przewagę zwykle mają niestety cyberprzestępcy – stopa zwrotu z inwestycji w nielegalne działania jest bardzo wysoka, nawet uwzględniając ryzyko i koszty związane z łamaniem prawa.

Pamiętajmy! Ogniwem systemu bezpieczeństwa jest każdy z nas!