Παραβιάστηκαν συστήματα της Skroutz και διέρρευσαν προσωπικά δεδομένα πελατών ονοματεπώνυμο, διεύθυνση, τηλ.

Η Skroutz ενημέρωσε πελάτες της για περιστατικό ασφαλείας σε πληροφοριακό σύστημά της, στο οποίο τηρούνται δεδομένα που συνδέονται άμεσα με την παράδοση δεμάτων: ονοματεπώνυμο, φυσική διεύθυνση και αριθμός τηλεφώνου. Η πρώτη ανάγνωση του μηνύματος μπορεί να δημιουργεί την εντύπωση ενός περιορισμένου περιστατικού, ιδιαίτερα επειδή η εταιρεία σπεύδει να διευκρινίσει ότι δεν έχουν επηρεαστεί δεδομένα πιστωτικών καρτών, πληρωμών ή διαπιστευτήρια χρηστών.

Ωστόσο, η αναλυτικότερη επίσημη ενημέρωση που έχει αναρτήσει η ίδια στην υπηρεσία Skroutz Last Mile χρησιμοποιεί σαφέστερη διατύπωση. Κάνει λόγο για «περιστατικό ασφαλείας μη εξουσιοδοτημένης πρόσβασης» σε πληροφοριακό σύστημα και αναφέρει ότι από το περιστατικό «έχουν επηρεαστεί» οι συγκεκριμένες κατηγορίες προσωπικών δεδομένων.

Δεν μιλάμε απλώς για μια δυσλειτουργία ενός server ή για ένα θεωρητικό κενό ασφαλείας που εντοπίστηκε προληπτικά. Μιλάμε, σύμφωνα με την ίδια την εταιρεία, για μη εξουσιοδοτημένη πρόσβαση σε σύστημα που περιείχε πραγματικά δεδομένα πελατών.

Με βάση τον ορισμό που χρησιμοποιεί το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων, η μη εξουσιοδοτημένη πρόσβαση σε προσωπικά δεδομένα εμπίπτει στην έννοια της παραβίασης προσωπικών δεδομένων.

Η έμφαση της Skroutz στο γεγονός ότι δεν έχουν επηρεαστεί κάρτες, πληρωμές ή κωδικοί πρόσβασης είναι ασφαλώς συμπληρωματική και περιορίζει ένα μέρος του πιθανού οικονομικού κινδύνου, αλλά δεν εξαφανίζει, όμως, το πρόβλημα.

Ο συνδυασμός ονοματεπωνύμου, τηλεφώνου και ακριβούς διεύθυνσης είναι ένα εξαιρετικά χρήσιμο σύνολο πληροφοριών για επιθέσεις κοινωνικής μηχανικής. Ένας απατεώνας που γνωρίζει ποιος είσαι, πού μένεις και ποιο είναι το κινητό σου δεν χρειάζεται κατ’ ανάγκην τον αριθμό της πιστωτικής σου κάρτας για να επιχειρήσει να σε εξαπατήσει.

Μπορεί, για παράδειγμα, να εμφανιστεί πειστικότερα ως courier, ως ηλεκτρονικό κατάστημα ή ως υπηρεσία παράδοσης και να ζητήσει μια «μικρή επιπλέον χρέωση», επιβεβαίωση στοιχείων ή σύνδεση σε πλαστή ιστοσελίδα.

Δεν είναι τυχαίο ότι η ίδια η Skroutz Last Mile, στην ανακοίνωσή της, καλεί τους παραλήπτες να επιδεικνύουν αυξημένη προσοχή σε ύποπτα emails και SMS και ειδικά σε απόπειρες phishing.

Τα ερωτήματα που η ανακοίνωση δεν απαντά

Δεν εξηγεί όμως δημόσια ορισμένα κρίσιμα στοιχεία:

• Πότε ακριβώς έγινε η μη εξουσιοδοτημένη πρόσβαση και πότε την αντιλήφθηκε η εταιρεία;
• Για πόσο χρονικό διάστημα είχε πρόσβαση στο σύστημα ο μη εξουσιοδοτημένος παράγοντας;
• Πόσοι πελάτες ή παραλήπτες επηρεάστηκαν;
• Υπήρξε απλή πρόσβαση στα δεδομένα ή και αντιγραφή/εξαγωγή τους;
• Ποια ήταν η τεχνική αιτία του περιστατικού;
• Τα προσωπικά δεδομένα βρίσκονταν κρυπτογραφημένα ή προστατευμένα με άλλον τρόπο;
• Έχει διαπιστωθεί αν τα δεδομένα έχουν δημοσιοποιηθεί, διακινηθεί ή χρησιμοποιηθεί από τρίτους;
• Ποιες συγκεκριμένες διορθωτικές ενέργειες πραγματοποιήθηκαν ώστε να μην επαναληφθεί το περιστατικό;

Η διερεύνηση ενός κυβερνοπεριστατικού σε όλο της το βάθος είναι υποχρέωση της εταιρείας.

Ο ευρωπαϊκός κανονισμός προστασίας δεδομένων προβλέπει συγκεκριμένο πλαίσιο για τις παραβιάσεις προσωπικών δεδομένων. Σε περιπτώσεις όπου η παραβίαση είναι πιθανό να δημιουργήσει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, το άρθρο 34 του GDPR προβλέπει ενημέρωση των επηρεαζόμενων προσώπων χωρίς αδικαιολόγητη καθυστέρηση. Η σχετική ενημέρωση πρέπει να περιγράφει, μεταξύ άλλων, τη φύση της παραβίασης, τις πιθανές συνέπειες και τα μέτρα που έχουν ληφθεί ή πρόκειται να ληφθούν για την αντιμετώπισή της.

Και η ελληνική Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα επισημαίνει ότι, όταν συντρέχει υψηλός κίνδυνος, η ενημέρωση των φυσικών προσώπων πρέπει να γίνεται χωρίς αδικαιολόγητη καθυστέρηση και κατά τρόπο αποτελεσματικό και, όπου είναι δυνατό, εξατομικευμένο.

Η Skroutz Last Mile αναφέρει ότι αντιμετώπισε άμεσα το συμβάν και ότι συνεργάζεται με τις αρμόδιες εποπτικές αρχές. Αυτό είναι σημαντικό, αλλά δεν αρκεί από μόνο του για να αξιολογηθεί από το κοινό η πραγματική έκταση του περιστατικού.

Και στην υπόθεση της Skroutz Last Mile, αυτές οι απαντήσεις ακόμη εκκρεμούν.