Brytyjskie ICO nałożyło blisko 1 milion £ kary za niedopatrzenie w sprawie naruszenia danych

W wyniku poważnego incydentu bezpieczeństwa, Brytyjskie Information Commissioner’s Office (ICO) ukarało firmę South Staffordshire Plc oraz South Staffordshire Water Plc karą w wysokości niemal 1 miliona funtów. Incydent, który trwał przez około dwa lata, dotknął dane 633 tysięcy klientów i pracowników, a jego źródłem był złośliwy e-mail, który został otwarty przez jednego z pracowników. Chociaż firma przechowywała dane dotyczące około 1,85 miliona osób, ujawniony atak obejmował wyciek 4,1 TB informacji na ciemnych serwisach internetowych.

Atak zainicjowany został przez złośliwy plik dołączony do wiadomości, co doprowadziło do zainstalowania oprogramowania szkodliwego, które pozostało w systemach firmy przez blisko dwa lata. Dopiero w lipcu 2022 roku, gdy zaczęto zauważać problemy z wydajnością, firma zainicjowała wewnętrzne dochodzenie, które ujawniło, że do ich sieci wkroczył atakujący, uzyskując dostęp z poziomu administratora domeny. ICO wskazało na brak adekwatnej ochrony oraz niewłaściwe zarządzanie zabezpieczeniami jako kluczowe przyczyny tego wycieku.

Organ nadzorczy skontrolował metody zabezpieczeń stosowane przez South Staffordshire, które okazały się niewystarczające. ICO zauważyło m.in. że firma monitorowała zaledwie 5% swojego środowiska IT oraz używała przestarzałego oprogramowania, takiego jak Windows Server 2003. Dyrektor wykonawczy ICO, Ian Hulme, podkreślił odpowiedzialność wodociągów w zakresie ochrony danych oraz fakt, że klienci nie mają wyboru w doborze dostawców tych usług. W obliczu asymetrycznej walki z cyberprzestępcami, proaktywne podejście do bezpieczeństwa powinno być priorytetem.

Finalnie, obydwie strony doszły do porozumienia, a South Staffordshire przyjęła odpowiedzialność za incydent oraz zgodziła się na karę, która została obniżona o 40%, osiągając wartość 963,900 funtów. Eksperci bezpieczeństwa sugerują, że użytkownicy powinni stosować unikalne hasła do różnych kont, aby zminimalizować skutki podobnych wycieków. Pomimo braku wpływu na operatora wodociagów, nadmiarowa dbałość o własne dane jest kluczowa w erze cyfrowej.