Η Comcast θα πληρώσει πρόστιμο για παραβίαση δεδομένων πελατών

Η Comcast συμφώνησε να πληρώσει πρόστιμο ύψους 1,5 εκατομμυρίου δολαρίων, προκειμένου να κλείσει μια πολύμηνη έρευνα της Ομοσπονδιακής Επιτροπής Επικοινωνιών (FCC) αναφορικά με σοβαρή παραβίαση δεδομένων που εντοπίστηκε τον Φεβρουάριο του 2024. Το περιστατικό, που αφορά σύστημα προμηθευτή της εταιρείας, οδήγησε στην έκθεση προσωπικών πληροφοριών σχεδόν 275.000 πελατών της Comcast, πυροδοτώντας ανησυχίες για την ασφάλεια των δεδομένων στον κλάδο.

Πώς ξεκίνησε η υπόθεση: Χτύπημα σε πρώην συνεργάτη

Παρότι η παραβίαση δεν προήλθε από τα συστήματα της Comcast, οι επιπτώσεις ήταν σημαντικές. Οι χάκερ στόχευσαν τη Financial Business and Consumer Solutions (FBCS), μια εταιρεία είσπραξης οφειλών με την οποία η Comcast είχε σταματήσει να συνεργάζεται από το 2022. Παρ’ όλα αυτά, ευαίσθητες πληροφορίες πελατών συνέχισαν να βρίσκονται στους διακομιστές της FBCS.

Δείτε επίσης: Ρώσοι χάκερ στοχεύουν αμερικανική εταιρεία μηχανικών

Η επίθεση σημειώθηκε μεταξύ 14 και 26 Φεβρουαρίου 2024. Οι κυβερνοεγκληματίες κατάφεραν να αποσπάσουν δεδομένα όπως ονόματα, διευθύνσεις, Social Security Numbers, ημερομηνίες γέννησης και αριθμούς λογαριασμών Xfinity – στοιχεία που μπορούν να αξιοποιηθούν για ταυτοποίηση, οικονομική απάτη ή υποκλοπή λογαριασμών.

Αλυσίδα λαθών και καθυστερημένες ενημερώσεις

Η FBCS αρχικά είχε πει ότι η παραβίαση επηρέαζε 1,9 εκατ. άτομα, όμως ο αριθμός αυτός αναθεωρήθηκε γρήγορα προς τα πάνω: έφτασε τα 3,2 εκατ. τον Ιούνιο και τα 4,2 εκατ. τον Ιούλιο. Παράλληλα, η FBCS διαβεβαίωνε την Comcast τον Μάρτιο ότι κανένας από τους πελάτες της δεν είχε επηρεαστεί.

Ωστόσο, στις 15 Ιουλίου, πέντε ολόκληρους μήνες μετά την κυβερνοεπίθεση, η FBCS ενημέρωσε επίσημα την Comcast ότι 273.703 από τους πελάτες της είχαν τελικά πέσει θύματα της διαρροής. Την ίδια περίοδο, η εταιρεία είσπραξης όφειλε ήδη να χειριστεί διαδικασίες πτώχευσης, ενώ μόλις τον Αύγουστο του 2024 παραδέχτηκε δημόσια την παραβίαση.

Δείτε επίσης: Dartmouth College: Παραβίαση δεδομένων μέσω Oracle EBS

Οι υποχρεώσεις της Comcast μετά τον διακανονισμό

Εκτός από το χρηματικό πρόστιμο, η Comcast δεσμεύτηκε σε μια σειρά νέων μέτρων για να ενισχύσει την προστασία δεδομένων στο δίκτυο των προμηθευτών της. Το σχέδιο συμμόρφωσης που επέβαλε η FCC περιλαμβάνει:

• Ορισμό υπευθύνου συμμόρφωσης για την εποπτεία των διαδικασιών ασφάλειας.
• Διεξαγωγή αξιολογήσεων κινδύνου σε όλους τους εξωτερικούς συνεργάτες που διαχειρίζονται δεδομένα πελατών, ανά διετία.
• Υποβολή αναλυτικών εκθέσεων προόδου στην FCC κάθε έξι μήνες για τα επόμενα τρία χρόνια.
• Υποχρεωτική αναφορά κάθε νέας ουσιαστικής παραβίασης μέσα σε 30 ημέρες από την ανακάλυψή της.
• Διασφάλιση ότι οι προμηθευτές διαγράφουν ή προστατεύουν δεδομένα που δεν χρειάζονται πλέον, όπως απαιτεί ο Νόμος.

Τι απαντά η εταιρεία

Παρά την οικονομική συμφωνία, η Comcast υποστηρίζει ότι δεν φέρει ευθύνη για το περιστατικό. Σε δήλωσή της στο Reuters, τόνισε ότι δεν παραβιάστηκαν τα δικά της συστήματα και ότι η FBCS είχε υποχρέωση να τηρεί συγκεκριμένα πρότυπα ασφαλείας.

Δείτε επίσης: SitusAMC: Παραβίαση δεδομένων επηρεάζει πελάτες

Το μέγεθος της Comcast και η σημασία της υπόθεσης

Η Comcast, μία από τις μεγαλύτερες πολυεθνικές στον χώρο των τηλεπικοινωνιών, της ψυχαγωγίας και των ΜΜΕ, απασχολεί πάνω από 182.000 εργαζομένους και εξυπηρετεί εκατοντάδες εκατομμύρια συνδρομητές παγκοσμίως. Με έσοδα που άγγιξαν τα 123,7 δισ. δολάρια το 2024, αποτελεί τον τέταρτο μεγαλύτερο τηλεπικοινωνιακό πάροχο σε παγκόσμιο επίπεδο.

Η υπόθεση αναδεικνύει την αυξανόμενη πολυπλοκότητα των αλυσίδων προμηθευτών στον ψηφιακό κόσμο και το πόσο ευάλωτες μπορούν να γίνουν ακόμη και οι μεγαλύτερες εταιρείες, όταν τρίτοι συνεργάτες δεν τηρούν επαρκή μέτρα ασφαλείας.

Το μήνυμα της FCC

Η απόφαση στέλνει ένα σαφές μήνυμα σε ολόκληρο τον κλάδο: η ευθύνη για την προστασία των δεδομένων δεν σταματά στην πύλη της εταιρείας. Οι προμηθευτές, οι συνεργάτες και οι υπεργολάβοι είναι σήμερα κρίσιμοι κρίκοι σε μια αλυσίδα που πρέπει να παραμένει ασφαλής σε κάθε επίπεδο.

Πηγή: www.bleepingcomputer.com