Szanowni Państwo
Oddajemy w Państwa ręce newsletter, w którym przekazujemy ostrzeżenie Prezesa Ochrony Danych Osobowych o tym, że cyberprzestępcy wysyłają do firm, zwłaszcza zajmujących się instalacją monitoringu, fałszywe wezwania do przekazania szczegółowych informacji o zamontowanych urządzeniach. UODO potwierdza, że nie jest nadawcą tych wiadomości i nie prowadzi takiej akcji zbierania danych.
W rozsyłanych wiadomościach oszuści żądają zestawienia instalacji monitoringu z ostatnich 12 miesięcy. Przedstawiają żądanie jako „urzędowe wezwanie” i wyznaczają termin 7 dni roboczych na odesłanie wypełnionego pliku, np. arkusza XLSX. W zestawieniu mają znaleźć się m.in.: dane kontaktowe użytkowników końcowych; lokalizacje instalacji, nawet z dokładnymi współrzędnymi geograficznymi; adresy IP i numery seryjne urządzeń; modele kamer oraz wersje ich oprogramowania wewnętrznego (firmware). Mamy tu do czynienia z phishingiem – próbą wyłudzenia informacji przez podszywanie się pod zaufaną instytucję. Wiarygodność wiadomości mają zwiększać formalny język, odwołania do przepisów RODO, niemal poprawne dane teleadresowe Urzędu oraz załączona tabela do wypełnienia.
Ujawnienie danych, których żądają cyberprzestępcy jest niebezpieczne z uwagi na to, że dane techniczne kamer i innych urządzeń mogą pomóc przestępcom zidentyfikować nieaktualne oprogramowanie i znane podatności. W połączeniu z adresami IP i informacjami o lokalizacji mogą ułatwić próby przejęcia kontroli nad urządzeniami, zwłaszcza gdy pozostawiono ustawienia fabryczne. Zagrożenie nie ogranicza się więc do ujawnienia danych kontaktowych. Nieuprawniony dostęp do obrazu z kamer może naruszać prywatność oraz realnie zagrażać bezpieczeństwu osób i mienia.
UODO podkreśla, że nie rozsyła opisanych wezwań ani ankiet i nie zbiera w ten sposób szczegółowych informacji o konkretnych instalacjach monitoringu. W korespondencji dotyczącej konkretnego postępowania istotnymi elementami są sygnatura sprawy i wskazanie jednostki prowadzącej. Sam formalny wygląd wiadomości, powołanie się na RODO czy obecność tych elementów nie powinny jednak zastępować sprawdzenia autentyczności nadawcy. Urzędowy ton nie jest dowodem autentyczności. Każde nietypowe żądanie przekazania danych osobowych lub szczegółów infrastruktury technicznej wymaga weryfikacji przed udzieleniem odpowiedzi.
W związku z powyższym, rekomendujemy zachowanie czujności i ostrożności i po otrzymaniu takiej (lub podobnej) wiadomości nie należy odsyłać wypełnionego zestawienia ani danych o klientach i urządzeniach. Nie należy działać pod presją wskazanego terminu. Trzeba zweryfikować korespondencję niezależnym kanałem – korzystając z danych kontaktowych dostępnych na oficjalnej stronie UODO, a nie z numeru telefonu lub linku podanego w podejrzanej wiadomości. Należy również przekazać wiadomość do osoby odpowiedzialnej za bezpieczeństwo IT lub ochronę danych w organizacji.
KONSULTACJA
W przypadku pytań, zapraszamy do kontaktu.