Podstawa prawna naruszenia

Art. 5 ust. 1 lit. f), art. 32 ust. 1 RODO.

Niewystarczające środki techniczne i organizacyjne zapewniające bezpieczeństwo informacji.

Przyczyna naruszenia

Naruszenie wynikało z wieloletniego zaniedbania podstawowych mechanizmów cyberbezpieczeństwa w środowisku IT administratora – nie wdrożono zasady najmniejszych uprawnień ani podziału kont administracyjnych, co umożliwiło sprawcy swobodne poruszanie się po sieci po przejęciu jednego konta. Monitoring bezpieczeństwa obejmował jedynie niewielki fragment infrastruktury, a logi z punktów końcowych nie były zintegrowane z systemem SIEM. Dodatkowo eksploatowano urządzenia działające na oprogramowaniu zakończonym wsparciem oraz nie prowadzono żadnych skanów podatności przez blisko dwa lata przed incydentem. Kumulacja tych zaniedbań pozwoliła sprawcy pozostać niewykrytym w sieci przez ponad 20 miesięcy.

Opis wydarzeń

1. Uzyskanie dostępu do systemu przez przestępców: We wrześniu 2020 r. ktoś w firmie otworzył załącznik w podejrzanym mailu (tzw. phishing). Dzięki temu na komputerze zainstalowano złośliwe oprogramowanie, które dało przestępcom „furtkę” do dalszego, cichego dostępu do sieci firmy.
2. Ukryta obecność przestępców w systemie: Po uzyskaniu dostępu przestępcy nie działali od razu. Przez blisko 20 miesięcy pozostawali „uśpieni” w systemie. Firma nie miała pojęcia, że ktoś obcy ma dostęp do jej sieci. Dopiero w maju 2022 r. rozpoczęto aktywne działania.
3. Przejęcie konta z najwyższymi uprawnieniami: Przestępcom udało się przejąć konto administratora, czyli takie, które daje pełną kontrolę nad całą siecią firmy. Umożliwiło to swobodne przechodzenie z jednego komputera na drugi (odwiedzono aż 20 różnych urządzeń), bez napotkania większego oporu.
4. Wykrycie incydentu przez firmę: Dopiero w połowie lipca 2022 r. zauważono, że coś jest nie tak, gdy systemy zaczęły działać wolniej i pojawiły się nietypowe operacje na bazach danych. Wezwano firmę zewnętrzną specjalizującą się w cyberbezpieczeństwie, która potwierdziła atak hakerski. Sprawę zgłoszono brytyjskiego organowi nadzorczemu 24 lipca 2022 r.
5. Żądanie okupu i publikacja danych w sieci: Kilka dni później pracownicy znaleźli wiadomość od przestępców z żądaniem okupu. Twierdzili oni, że skradziono 5,5 TB danych. Ostatecznie w dark webie opublikowano ponad 4 TB informacji.
6. Zakres wyciekłych danych: Ucierpieli zarówno klienci firmy (dostawcy wody), jak i jej pracownicy. W sieci pojawiły się m.in. imiona i nazwiska, adresy, adresy e-mail, numery telefonów, dane logowania, a w przypadku klientów także numery kont bankowych. Dla niewielkiej grupy osób korzystających ze specjalnego programu wsparcia dla osób starszych/niepełnosprawnych wyciekły też informacje, z których można było wywnioskować niepełnosprawność.
7. Działania podjęte po wykryciu ataku: Poszkodowanych powiadomiono w kilku etapach. Łącznie niemal 391 tysięcy osób otrzymało informację o wycieku. Zaoferowano im bezpłatny, roczny dostęp do usługi monitorowania ostrzegającej przed próbami wyłudzeń (np. próbami zaciągnięcia kredytu na cudze dane). Uruchomiono też specjalną infolinię dla klientów i dodatkowe wsparcie dla pracowników.
8. Nałożenie kary finansowej: Brytyjski organ nadzorczy uznał, że przez lata nie zadbano o podstawowe zabezpieczenia, co umożliwiło atak. Ze względu na współpracę z urzędem, przyznanie się do błędów i działania ograniczające skutki wycieku, karę obniżono z pierwotnie wyliczonej kwoty do ostatecznych 1 112 000 EUR.

Źródło

Pełna treść decyzji organu nadzorczego

Aby uniknąć podobnych naruszeń, zalecamy:

1. Wdrożenie zasady najmniejszych uprawnień i podziału kont uprzywilejowanych: Konta administracyjne powinny być podzielone na warstwy (tiering) zgodnie z rekomendacjami NCSC, tak aby kompromitacja jednego konta niższego poziomu nie umożliwiała eskalacji do pełnej kontroli nad domeną.
2. Zapewnienie pełnego pokrycia monitoringu bezpieczeństwa: Monitoring i logowanie zdarzeń powinny obejmować całość środowiska IT, w tym punkty końcowe, z integracją danych do centralnego systemu SIEM, umożliwiającą wykrywanie anomalii na wczesnym etapie ataku.
3. Systematyczne wycofywanie oprogramowania end-of-life: Organizacje powinny prowadzić inwentaryzację systemów i planowo migrować z rozwiązań, dla których zakończono wsparcie producenta, eliminując tym samym niemożliwe do załatania podatności.
4. Regularne zarządzanie podatnościami: Konieczne jest prowadzenie cyklicznych, udokumentowanych skanów podatności – zarówno wewnętrznych, jak i zewnętrznych – oraz priorytetowe łatanie krytycznych luk niezwłocznie po ich publikacji.
5. Testowanie odporności na ruch lateralny: Rekomendowane jest przeprowadzanie testów penetracyjnych oraz ćwiczeń typu red team/purple team symulujących ruch sprawcy w sieci wewnętrznej, nie tylko testów obwodowych.
6. Szczególna ochrona danych osób wrażliwych: W przypadku przetwarzania danych osób ze szczególnymi potrzebami należy stosować dodatkowe zabezpieczenia adekwatne do podwyższonego ryzyka szkody.
7. Gotowość do szybkiej reakcji i powiadamiania: Organizacje powinny posiadać przetestowane procedury reagowania na incydenty, obejmujące szybkie oszacowanie zakresu naruszenia, terminowe zgłoszenie do organu nadzorczego oraz zaplanowaną komunikację z osobami dotkniętymi naruszeniem.

Jeśli potrzebujesz wsparcia w zakresie ochrony danych osobowych, zapraszamy do kontaktu