Η γαλλική αρχή προστασίας δεδομένων CNIL επέβαλε πρόστιμο ύψους 5 εκατομμυρίων ευρώ στη France Travail, την εθνική υπηρεσία απασχόλησης της χώρας, έπειτα από σοβαρή παραβίαση ασφάλειας που οδήγησε στη διαρροή προσωπικών δεδομένων περίπου 43 εκατομμυρίων ανθρώπων. Πρόκειται για μία από τις μεγαλύτερες κυβερνοεπιθέσεις που έχουν καταγραφεί ποτέ σε δημόσιο οργανισμό στη Γαλλία, αναδεικνύοντας τα διαχρονικά προβλήματα κυβερνοασφάλειας στον δημόσιο τομέα.
Η υπηρεσία, γνωστή στο παρελθόν ως Pôle Emploi, διαχειρίζεται επιδόματα ανεργίας και προγράμματα επανένταξης στην αγορά εργασίας, διατηρώντας παράλληλα τεράστιες βάσεις δεδομένων με προσωπικά και οικονομικά στοιχεία πολιτών.
France Travail: Η παραβίαση που αποκάλυψε δεδομένα 20 ετών
Σύμφωνα με τη CNIL, η παραβίαση σημειώθηκε στις αρχές του 2024 και αφορούσε δεδομένα που εκτείνονταν χρονικά έως και δύο δεκαετίες πίσω. Τον Μάρτιο του ίδιου έτους, η France Travail επιβεβαίωσε ότι άγνωστοι εισβολείς απέκτησαν πρόσβαση σε πληροφορίες έως και 43 εκατομμυρίων ατόμων.
Δείτε επίσης: Ο επικεφαλής της CISA ανέβασε ευαίσθητα αρχεία στο ChatGPT
Τα δεδομένα που εκλάπησαν περιλάμβαναν ονοματεπώνυμα, ημερομηνίες γέννησης, αριθμούς κοινωνικής ασφάλισης, διευθύνσεις κατοικίας και email, καθώς και αριθμούς τηλεφώνου. Αν και δεν διέρρευσαν τραπεζικά στοιχεία ή κωδικοί πρόσβασης, υπάρχει ακόμα κίνδυνος, καθώς οι εκτεθειμένες πληροφορίες μπορεί να αξιοποιηθούνσε επιθέσεις ταυτοποίησης και απάτες phishing μεγάλης κλίμακας.
Κοινωνική μηχανική και ανθρώπινος παράγοντας
Η CNIL αποκάλυψε ότι οι δράστες δεν εκμεταλλεύτηκαν τεχνικό κενό ασφαλείας, αλλά χρησιμοποίησαν τεχνικές κοινωνικής μηχανικής. Μέσω εξαπάτησης εργαζομένων, κατάφεραν να αποκτήσουν πρόσβαση σε λογαριασμούς συμβούλων της CAP EMPLOI — οργανισμών που υποστηρίζουν την επαγγελματική αποκατάσταση ατόμων με αναπηρίες.
Η επίθεση ανέδειξε για ακόμη μία φορά ότι ο ανθρώπινος παράγοντας παραμένει ένας από τους πιο αδύναμους κρίκους στην αλυσίδα κυβερνοασφάλειας, ακόμη και σε κρατικούς οργανισμούς με ανεπτυγμένες ψηφιακές υποδομές.
Οι κυρώσεις και οι αυστηρές προθεσμίες
Πέρα από το πρόστιμο των 5 εκατ. ευρώ, η CNIL διέταξε τη France Travail να καταγράψει αναλυτικά όλα τα διορθωτικά μέτρα που λαμβάνει και να υποβάλει συγκεκριμένο χρονοδιάγραμμα εφαρμογής. Σε περίπτωση μη συμμόρφωσης, προβλέπονται ημερήσια πρόστιμα ύψους 5.000 ευρώ μέχρι να αποδειχθεί ότι τα προβλήματα ασφάλειας έχουν επιλυθεί πλήρως.
Δείτε επίσης: ΕΕ: Σημαντική αύξηση των αναφορών για παραβιάσεις του GDPR
Η εποπτική αρχή τόνισε ότι η υπηρεσία δεν είχε εφαρμόσει επαρκή τεχνικά και οργανωτικά μέτρα, όπως απαιτεί ο Γενικός Κανονισμός για την Προστασία Δεδομένων (GDPR), δεδομένης της ευαισθησίας και του όγκου των πληροφοριών που διαχειρίζεται.
Ένα επαναλαμβανόμενο πρόβλημα
Το περιστατικό δεν αποτελεί μεμονωμένη περίπτωση. Τον Αύγουστο του 2023, η France Travail είχε υποστεί ακόμη μία μαζική διαρροή που επηρέασε περίπου 10 εκατομμύρια πολίτες, με την αποκάλυψη πλήρων ονομάτων και αριθμών κοινωνικής ασφάλισης.
Η επανάληψη τέτοιων περιστατικών εγείρει σοβαρά ερωτήματα για τη συνολική στρατηγική κυβερνοασφάλειας της υπηρεσίας και για το κατά πόσο οι δημόσιοι οργανισμοί μπορούν να ανταποκριθούν στις σύγχρονες απειλές.
Η CNIL εντείνει τη στάση της απέναντι στον GDPR
Το πρόστιμο στη France Travail εντάσσεται σε ένα ευρύτερο κύμα αυστηρής επιβολής του GDPR από τη γαλλική ρυθμιστική αρχή. Μόνο τον τελευταίο χρόνο, η CNIL επέβαλε πρόστιμο 325 εκατ. ευρώ στην Google για παραβιάσεις σχετικές με cookies, καθώς και 150 εκατ. ευρώ στην ιρλανδική θυγατρική της Shein για παρόμοιες πρακτικές.
Πιο πρόσφατα, επέβαλε πρόστιμο 42 εκατ. ευρώ στη Free Mobile και στη μητρική της εταιρεία μετά από διαρροή δεδομένων τον Οκτώβριο του 2024, κρίνοντας ότι δεν είχαν ληφθεί επαρκή μέτρα προστασίας έναντι κυβερνοαπειλών.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Δείτε επίσης: Η ρωσική ELECTRUM πίσω από την κυβερνοεπίθεση στο Πολωνικό Δίκτυο Ενέργειας;
Τι σημαίνει η υπόθεση για το μέλλον
Η υπόθεση της France Travail καταδεικνύει ότι οι κρατικοί οργανισμοί αποτελούν πλέον βασικό στόχο κυβερνοεγκληματιών, λόγω του τεράστιου όγκου δεδομένων που διαχειρίζονται. Παράλληλα, στέλνει σαφές μήνυμα ότι η συμμόρφωση με τον GDPR δεν είναι τυπική διαδικασία, αλλά συνεχής υποχρέωση.
Καθώς οι κυβερνοεπιθέσεις αυξάνονται σε συχνότητα και πολυπλοκότητα, η επένδυση σε εκπαίδευση προσωπικού, σύγχρονες τεχνολογίες ασφάλειας και διαρκή έλεγχο συστημάτων καθίσταται αναγκαία — όχι μόνο για τον ιδιωτικό, αλλά και για τον δημόσιο τομέα.
Το πρόστιμο των 5 εκατ. ευρώ ίσως να μην είναι το μεγαλύτερο που έχει επιβληθεί ποτέ, όμως αποτελεί ηχηρή υπενθύμιση ότι η προστασία προσωπικών δεδομένων παραμένει θεμελιώδης υποχρέωση σε μια ψηφιακή Ευρώπη που γίνεται ολοένα και πιο ευάλωτη.
Πηγή: www.bleepingcomputer.com
