ホームインターネット安全重大なデータ侵害を受けて自動車倉庫に40万ポンドの罰金を課せられた

重大なデータ侵害を受けて自動車倉庫に40万ポンドの罰金を課せられた

4月 9, 2024

—

in 安全

情報コミッショナー局（ICO）は、2015年にデータ侵害を引き起こした顧客データの適切な保護を怠ったとして、大手携帯電話販売会社カーフォン・ウェアハウスに対し40万ポンドの罰金を科した。

データ保護規制当局によると、同社は壊滅的なデータ損失を回避するために、十分なインフラストラクチャの導入、正しい手順の遵守、データ保護法に定められた保護の遵守を怠ったという。

サイバー犯罪者は、当時「洗練された」と言われていた攻撃により、会社のシステムに侵入し、何百万もの顧客の個人データにアクセスすることができました。

この攻撃は 300 万人以上の顧客と 1,000 人の従業員に影響を及ぼし、攻撃者は名前、生年月日、住所、銀行口座情報などの情報にアクセスしました。

ICOは自動車電話倉庫に高額の罰金を課した際、データ攻撃につながったさまざまな「システム障害」に責任があると述べた。

ICOはCarphone Warehouseの侵害を知った後、攻撃がどのように起こったのか、そして同社の不正行為を解明するために包括的な調査を開始した。合計 11 個の問題が発見されました。

このテクノロジー企業は時代遅れのソフトウェアに依存しており、誰が顧客データにアクセスできるかについての「厳格な管理」が欠けていました。捜査当局は、同社が複数のサーバーで同じ root パスワードを使用していたことも発見しました。

ICOは「安全保障の取り決めに明らかな重大な不備」があったと述べ、同社が「基本的でありふれた措置」を講じていないと述べた。

カーフォン・ウェアハウスは主要な「データ管理者」として、「データ保護原則」に準拠するシステムを使用すべきだったと述べた。

規則の 1 つは、企業が顧客データにアクセスする際に「従業員の信頼性を確保するために責任ある措置を講じる」必要があることを明確にしています。

また、インフラストラクチャに関しては、企業は「技術的および組織的セキュリティに関して十分な保証」を提供するデータ保護ハードウェアを確実に使用する必要があります。

2016年、ハッカーが15万人以上の顧客の個人データにアクセスできた際、ICOはTalkTalkに対して同様の罰金を科した。

次を読む: GDPR とは何ですか?データとその使用方法について知っておくべきことすべて

情報コミッショナーのエリザベス・デンハム氏は、「カーフォン・ウェアハウスほど大規模でリソースが豊富で確立された企業であれば、自社のデータセキュリティシステムを積極的に評価し、システムが堅牢でそのような攻撃に対して脆弱ではないことを確認すべきでした。

「Carphone Warehouse はサイバーセキュリティに関しては最高の立場にあるはずですが、私たちが発見したシステム上の障害が初歩的でありふれた対策に関連していることは憂慮すべきです。」

カーフォン・ウェアハウスもこれに応じて、「我々は本日のICOの決定を受け入れ、2015年にカーフォン・ウェアハウスの英国部門の1つ内の特定のシステムに対する違法なサイバー攻撃に関するICOの調査に全面的に協力してきた」と述べた。

「ICOが報告書で述べているように、私たちは当時、システムを保護し、追加のセキュリティ対策を講じ、ICOと影響を受ける可能性のある顧客や同僚に通知するために迅速に行動しました。 ICOは、個人データが第三者によって使用された証拠はないと指摘した。」

Positive Technologies のサイバーセキュリティレジリエンス責任者である Leigh-Anne Galloway 氏は、企業は個人データを保護するためにさらに努力する必要があり、GDPR が発効すればさらに高額な罰金が科せられる可能性があると述べた。

「罰金は情報コミッショナーの重要な声明です。これは、大規模な侵害の時代において、特に大規模な顧客データベースを持つ信頼できる大規模ブランドの場合、企業が自社のデータの神聖性をいかに高く評価する必要があるかを示しています」とギャロウェイ氏は述べています。

「これは、GDPR に向けてのこうした企業にとって、一撃でもあります。これは比較的大きな見出しの数字ではあるが、5月25日に発効する新しい法律の下で可能となる数字のほんの一部にすぎない。」

ICOは現在、課すことのできる罰金の上限を50万ポンドに設定している。しかし、もしデータ侵害がGDPRの規制枠組みの下で起こっていたら、Carphone Warehouseは最大2,000万ユーロ、または世界売上高の4%の罰金を科せられた可能性があります。

2008年、カーフォン・ウェアハウス社は、間違った名前で口座を開設し、信用機関や債権回収業者に誤った機密データを送信したとして、顧客データの取り扱いに関してICOから警告を受けた。

画像: ウィキメディア・コモンズ