Podstawa prawna naruszenia
Art. 5 ust. 1 lit. f) RODO.
Nieprzestrzeganie ogólnych zasad przetwarzania danych.
Przyczyna naruszenia
Naruszenie wynikało z niewystarczających środków bezpieczeństwa stosowanych przez ORANGE ESPAGNE, S.A.U. w procesie wydawania duplikatów kart SIM. Osoby trzecie były w stanie uzyskać duplikaty kart SIM klientów, co umożliwiło im dostęp do danych osobowych i przeprowadzenie oszustw finansowych.
Opis wydarzeń
- Pierwszy przypadek:
- Klientka zgłosiła, że jej telefon przestał działać, a w sklepie ORANGE stwierdzono, że karta SIM została zmieniona bez jej zgody.
- Oszuści zmienili adres e-mail w systemie ORANGE i uzyskali duplikat karty SIM, co pozwoliło im na dostęp do konta bankowego klientki i przeprowadzenie szeregu transakcji finansowych bez jej zgody.
- Drugi przypadek:
- Klient otrzymał SMS informujący o wydaniu duplikatu karty SIM, którego nie autoryzował.
- Po sprawdzeniu kont bankowych okazało się, że oszuści wypłacili 300 euro z jego konta.
Źródło
Pełna treść decyzji organu nadzorczego
Aby uniknąć podobnych naruszeń, zalecamy:
- Wzmocnienie procedur weryfikacji tożsamości: Wprowadzenie bardziej rygorystycznych procedur weryfikacji tożsamości przy wydawaniu duplikatów kart SIM, w tym obowiązkowe sprawdzanie dokumentów tożsamości i dodatkowych pytań weryfikacyjnych.
- Monitorowanie i audyt: Regularne audyty i monitorowanie procesów wydawania duplikatów kart SIM w celu wykrywania i zapobiegania potencjalnym oszustwom.
- Szkolenia dla pracowników: Przeprowadzanie regularnych szkoleń dla pracowników na temat procedur bezpieczeństwa i weryfikacji tożsamości, aby zwiększyć ich świadomość i umiejętności w zakresie zapobiegania oszustwom.
- Zwiększenie świadomości klientów: Informowanie klientów o potencjalnych zagrożeniach związanych z oszustwami SIM swapping i zachęcanie ich do stosowania dodatkowych środków bezpieczeństwa, takich jak dwuskładnikowa weryfikacja.
JAK UNIKNĄĆ SIM-SWAPPING?
- Nie używaj w kodach PIN lub hasłach danych powiązanych z Tobą.
- Jeśli Twój numer telefonu jest podany do wiadomości publicznej, wówczas nie wykorzystuj go do obsługi rachunku bankowego.
- Nie udostępniaj w mediach społecznościowych zbyt osobistych informacji i zweryfikuj kategorie osób, które mogą zobaczyć Twoje wpisy.
- Korzystaj z uwierzytelniania wieloetapowego, zwłaszcza w oparciu o aplikację zainstalowaną na telefonie lub klucz sprzętowy.
- Aktualizuj oprogramowanie na komputerze i telefonie.
Jeśli potrzebujesz wsparcia w zakresie ochrony danych osobowych, zapraszamy do kontaktu
