Η Capita έλαβε πρόστιμο για την παραβίαση δεδομένων, που επηρέασε πελάτες το 2023.
Η βρετανική εταιρεία outsourcing Capita βρέθηκε στο επίκεντρο της επικαιρότητας μετά την επιβολή προστίμου 14 εκατομμυρίων λιρών από το Γραφείο του Επιτρόπου Πληροφοριών (ICO). Το πρόστιμο αφορά την αποτυχία προστασίας προσωπικών δεδομένων εκατομμυρίων πολιτών. Η υπόθεση σχετίζεται με τη μαζική κυβερνοεπίθεση του Μαρτίου 2023, όπου χάκερ απέσπασαν στοιχεία 6,6 εκατομμυρίων ανθρώπων, μεταξύ των οποίων πληροφορίες συντάξεων, προσωπικά δεδομένα εργαζομένων και πελατών.
Το περιστατικό αποκάλυψε κενά ασφαλείας σε κρίσιμα συστήματα, καθώς και ανεπαρκή ανταπόκριση σε πραγματικό χρόνο. Σύμφωνα με το ICO, η Capita δεν διέθετε τα αναγκαία τεχνικά και οργανωτικά μέτρα ώστε να αποτρέψει ή να περιορίσει τις επιπτώσεις της επίθεσης.
Δείτε επίσης: Χάκερ μιμούνται την OpenAI και το Sora για να κλέψουν credentials
Διπλό πρόστιμο
Το ICO επέβαλε πρόστιμο 8 εκατομμυρίων λιρών στην ίδια την Capita και 6 εκατομμυρίων λιρών στη θυγατρική Capita Pension Solutions, η οποία διαχειρίζεται δεδομένα για πάνω από 600 συνταξιοδοτικά ταμεία. Από αυτούς τους οργανισμούς, 325 επηρεάστηκαν άμεσα από τη διαρροή.
Η παραβίαση περιλάμβανε ευαίσθητες πληροφορίες, όπως οικονομικά δεδομένα, ποινικά μητρώα και προσωπικές κατηγορίες δεδομένων — από φυλή και θρησκεία έως σεξουαλικό προσανατολισμό. Το ICO σημείωσε ότι τα δεδομένα αυτά «θα μπορούσαν να είχαν παραμείνει ασφαλή, εάν η Capita είχε εφαρμόσει στοιχειώδη μέτρα προστασίας».
Πώς συνέβη η επίθεση
Η κυβερνοεπίθεση ξεκίνησε στις 22 Μαρτίου 2023, όταν ένας υπάλληλος κατέβασε κατά λάθος ένα κακόβουλο αρχείο. Παρότι το σύστημα ενεργοποίησε συναγερμό μέσα σε 10 λεπτά, η εταιρεία δεν απομόνωσε τη μολυσμένη συσκευή για 58 ώρες. Κατά τη διάρκεια αυτής της καθυστέρησης, οι χάκερ απέκτησαν δικαιώματα διαχειριστή, διείσδυσαν βαθύτερα στο δίκτυο και εγκατέστησαν ransomware στις 31 Μαρτίου. Το αποτέλεσμα: πλήρης αποκλεισμός πρόσβασης για τους υπαλλήλους και κλείδωμα κρίσιμων συστημάτων.
Σύμφωνα με το ICO, η απόκριση σε τέτοιες περιπτώσεις πρέπει να είναι μία ώρα – διάστημα που η Capita υπερέβη δραματικά. Το περιστατικό εντάσσεται στο κύμα επιθέσεων του 2023, την ίδια χρονιά που εταιρείες όπως η WH Smith και η Royal Mail υπέστησαν σοβαρές κυβερνοεπιθέσεις.
Δείτε επίσης: PolarEdge: Νέο προσαρμοσμένο backdoor TLS Server
«Αποτυχία καθήκοντος» σύμφωνα με τον Επίτροπο
Ο Επίτροπος Πληροφοριών του Ηνωμένου Βασιλείου, John Edwards, δήλωσε χαρακτηριστικά: «Η Capita απέτυχε στο καθήκον της να προστατεύσει τα δεδομένα που της εμπιστεύτηκαν εκατομμύρια άνθρωποι. Η παραβίαση αυτή θα μπορούσε να είχε αποφευχθεί εάν είχαν ληφθεί επαρκή μέτρα ασφαλείας».
Η έρευνα κατέληξε ότι η εταιρεία δεν είχε προνοήσει για επαρκείς μηχανισμούς ανίχνευσης και αποτροπής, ενώ τα πρωτόκολλα ανταπόκρισης κρίσης αποδείχθηκαν ανεπαρκή. Αρχικά, το ICO σκόπευε να επιβάλει πρόστιμο 45 εκατομμυρίων λιρών, όμως το ποσό μειώθηκε λόγω της συνεργασίας της Capita και της βελτίωσης των συστημάτων μετά το περιστατικό.
Η απάντηση της Capita και η νέα εποχή κυβερνοασφάλειας
Η εταιρεία εξέδωσε ανακοίνωση ζητώντας συγγνώμη και επιβεβαίωσε ότι όλοι οι επηρεασμένοι πολίτες ειδοποιήθηκαν. Ο νέος διευθύνων σύμβουλος, Adolfo Hernandez, που ανέλαβε το 2024, τόνισε ότι η Capita «βίωσε μία από τις πρώτες μεγάλες επιθέσεις στο πρόσφατο κύμα κυβερνοεγκλήματος» και από τότε έχει επιταχύνει τον ψηφιακό της μετασχηματισμό.
«Έχουμε ενισχύσει σημαντικά τη στάση μας στον τομέα της κυβερνοασφάλειας, επενδύοντας σε προηγμένα συστήματα ανίχνευσης και ενσωματώνοντας μια κουλτούρα συνεχούς επαγρύπνησης», ανέφερε ο Hernandez.
Δείτε επίσης: Invoicely: Εκτέθηκαν πάνω από 178.000 αρχεία με δεδομένα πελατών
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Η εταιρεία είχε εκτιμήσει ότι το συνολικό κόστος της επίθεσης, συμπεριλαμβανομένων των δαπανών ανάκτησης, των αμοιβών ειδικών και των νέων επενδύσεων ασφάλειας, θα μπορούσε να φτάσει τα 25 εκατομμύρια λίρες, χωρίς να υπολογίζονται τα πρόστιμα.
Μαθήματα για το μέλλον: Από την αντίδραση στην πρόληψη
Η υπόθεση της Capita αποτελεί σημαντική προειδοποίηση για τους οργανισμούς που χειρίζονται μεγάλα όγκους προσωπικών δεδομένων. Τα βασικά διδάγματα είναι ξεκάθαρα:
- Η ταχύτητα απόκρισης σε περιστατικά παραβίασης είναι κρίσιμη.
- Οι επιχειρήσεις πρέπει να εφαρμόζουν πολυεπίπεδη προστασία, από εκπαίδευση προσωπικού μέχρι αυτοματοποιημένα συστήματα απομόνωσης απειλών.
- Και, πάνω απ’ όλα, η κουλτούρα κυβερνοασφάλειας πρέπει να διαπερνά κάθε επίπεδο της εταιρείας, από τον εργαζόμενο πρώτης γραμμής έως τη διοίκηση.
Καθώς το 2025 σηματοδοτεί νέα έξαρση κυβερνοεπιθέσεων σε μεγάλες ευρωπαϊκές επιχειρήσεις, η υπόθεση Capita υπενθυμίζει ότι ακόμη και οι γίγαντες της αγοράς μπορούν να γονατίσουν αν η ασφάλεια δεν αποτελεί προτεραιότητα.
