Jak pisaliśmy wczoraj na łamach „Rz”, ostatnią decyzją poprzedni prezes UODO Jan Nowak nałożył na Morele.net karę 3,8 mln zł. To już druga próba ukarania spółki za wyciek danych 2,2 mln klientów, który nastąpił pod koniec 2018 r. Na skutek ataku ujawniono przede wszystkim numery telefonów osób dokonujących zamówień w tym sklepie, w efekcie zaczęły one otrzymywać fałszywe SMSy. W przypadku części osób wyciekły także numery PESEL i numery dowodów osobistych. Początkowo firma zaprzeczała, że doszło do incydentu, finalnie jednak się do niego przyznała.
W czasie kontroli UODO ustalono m.in., że administrator nie stosował szyfrowania w przypadku części danych, dysponował niewystarczającym systemem uwierzytelniania kont, a także zaniechał analizy ryzyka, która powinna uwzględniać np. zagrożenia związane z możliwością logowania się do systemu z sieci publicznej. Zabrakło także rozwiązań technicznych i administracyjnych umożliwiających monitorowanie ruchu w sieci i reagowanie w razie wykrycia nieprawidłowych działań.
Jak informuje UODO, w toku postępowania stwierdzono, że spółka nie miała nawet pewności czy i jakie dane zostały wykradzione. Dopiero po wycieku zaczęła wdrażać odpowiednie rozwiązania. Zdaniem prezesa Urzędu, wcześniejsze ich wprowadzenie pozwoliłoby wykryć próby nieautoryzowanego dostępu i podjąć odpowiednie działania w celu uniemożliwienia kradzieży danych. Także sam administrator przyznał, że brak ich wdrożenia był błędem z jego strony. Zwróciliśmy się do Morele.net z prośbą o stanowisko ws. ponownego ukarania przez urząd, ale nie otrzymaliśmy odpowiedzi.
Czytaj więcej
Drogo może zapłacić sklep Morele.net za niedopilnowanie danych klientów. A kary będą rosły.
Liczy się sposób reakcji na incydent
- Naruszenia bezpieczeństwa danych wynikają zwykle z błędów ludzkich. Więc będą się zdarzały tak długo, jak długo będziemy przetwarzać dane. Kluczem jest jednak wykazanie, że administrator potrafi prawidłowo zareagować na kryzys. Aby to zrobić, trzeba najpierw przeprowadzić analizę ryzyka i przygotować organizację na taką sytuację. Organ zawsze bardzo mocno bierze pod uwagę zaangażowanie administratora i to, czy chce on faktycznie minimalizować skutki i przeciwdziałać zagrożeniu, czy raczej chce ukryć ten fakt - wskazuje radca prawny Jakub Wezgraj.
