Kara prawie 1,5 mln złotych dla spółki medycznej po ataku hakerskim.

Infrastruktura informatyczna spółki American Heart of Poland SA została zaatakowana przez hakerów, którzy uzyskali dostęp do szczegółowych danych osobowych około 21 tys. osób. Prezes UODO ustalił, że doszło do tego, ponieważ spółka źle szacowała ryzyko dla danych. Dodatkowo w czasie pandemii nie przestrzegała własnej polityki dotyczącej bezpieczeństwa danych.

Nieuprawnione osoby uzyskały dostęp do danych pacjentów i pracowników spółki. Zdarzenie objęło szeroki zakres danych, m.in.: nazwisko, imię, imiona rodziców, nazwisko rodowe matki, datę urodzenia, dane dotyczące zarobków lub posiadanego majątku, dane dotyczące zdrowia, numer rachunku bankowego, adres zamieszkania lub pobytu, numer PESEL, nazwę użytkownika lub hasło, serię i numer dowodu osobistego, numer telefonu oraz adres e-mail.

O wycieku danych spółka dowiedziała się od hakerów, którzy zażądali 3 mln dolarów okupu za nieujawnienie przechwyconych danych. Spółka powiadomiła o incydencie Prezesa UODO, a osoby, których dane wyciekły, poinformowała o zagrożeniu związanym z incydentem.

Prezes UODO przeprowadził w tej sprawie czynności wyjaśniające i kontrolne, a następnie wszczął wobec spółki postępowanie administracyjne.

Ustalenia UODO

• Spółka nie wdrożyła wszystkich niezbędnych środków służących ochronie przetwarzanych danych, a ponadto nie była w stanie ustalić przyczyny wycieku.
• Spółka nie przestrzegała własnych zaleceń dotyczących bezpieczeństwa danych. Informacje o wynikach testów na COVID klientów przechowywała na dyskach sieciowych, podczas gdy dane medyczne powinny być przechowywane w specjalnym systemie przeznaczonym do przetwarzania danych dotyczących zdrowia.
• Platforma chmurowa wykorzystywana przez spółkę była zbyt słabo zabezpieczona. Trzy serwery pracujące w siedzibie spółki nie miały aktualnego wsparcia technicznego producenta, które zakończyło się w styczniu 2020 r. Oprogramowanie nie zostało zaktualizowane przez niedopatrzenie, przez co w systemie powstała luka mogąca przyczynić się do przejęcia urządzeń przez hakerów.
• Spółka niewłaściwie chroniła się przed atakami phishingowymi. Według ustaleń Prezesa UODO z dużym prawdopodobieństwem właśnie w taki sposób hakerzy dostali się do systemu informatycznego.

Źródło: UODO