Jesteś użytkownikiem T-Mobile Usługi Bankowe? Twoje dane mogli zobaczyć inni klienci

Klienci T-Mobile Usługi Bankowe przez przypadek mogli mieć dostęp do wiadomości innych użytkowników. W wielu przypadkach treść składała się z poufnych informacji. Niestety, to nie pierwszy raz, kiedy bank zalicza wpadkę, a my narażeni jesteśmy na utratę danych.

O wpadce T-Mobile Usługi Bankowe pisze portal niebezpiecznik.pl. Niektórzy użytkownicy wchodząc na swoje konto mogli zobaczyć treść korespondencji innych osób z bankiem. Do wielu wiadomości dołączony był skan dowodu osobistego. Nie brakowało też informacji o nowym adresie zamieszkania. Przez przypadek można było więc zebrać pokaźną bazę danych - mimo że (na szczęście!) plików PDF ze skanami nie dało się pobrać.

Jak donosi niebezpiecznik.pl, wiadomości pochodziły z okresu od 7 lutego 2017 do 6 czerwca 2017. Błąd naprawiono zaraz po tym, gdy zgłoszono go do banku. Tak sytuacje w wypowiedzi dla Niebezpiecznika skomentowała przedstawicielka banku Joanna Nagierska:

"Potwierdzamy, że pojedynczy klienci T-Mobile Usługi Bankowe po zalogowaniu do systemu bankowości elektronicznej w panelu wiadomości mogli widzieć komunikaty skierowane do innych osób. Po zidentyfikowaniu tego błędu bank niezwłocznie wprowadził działania naprawcze. Problem dotyczył pojedynczych przypadków, miał charakter tymczasowy i został już usunięty. Przepraszamy klientów za niedogodności. Jednocześnie podkreślamy, że bezpieczeństwo danych oraz środków klientów jest dla nas kwestią priorytetową".

Jak widać, nie zawsze potrzebny jest haker, by dane klientów zostały ujawnione. Nie da się jednak ukryć, że to właśnie cyberprzestępcy są największym zagrożeniem: i dla użytkowników banków, jak i samych firm.

W czerwcu 2015 roku jeden z hakerów udostępnił posiadaną bazę danych klientów Plus Banku. Cyberprzestępca ukrywający się pod pseudonimem Raz wcześniej twierdził, że za 200 tys. zł nie ujawni wykradzionych informacji. Bank nie wpłacił okupu, więc dane 500 klientów trafiły do sieci. Składały się z imion i nazwisk, adresów mailowych i zamieszkania, a także numerów PESEL, dowodów osobistych czy szczegółów związanych z kartami płatniczymi.

Już we wrześniu 2015 roku dowiedzieliśmy się, że policja schwytała hakera, a śledztwo przeciwko niemu prowadzone było już od maja. Cyberprzestępca przyznał się do stawianych mu zarzutów - oszustwo komputerowe i pranie brudnych pieniędzy - oraz… zgodził się na współpracę z policją.

“Bank nie uległ szantażowi cyberprzestępców w poczuciu głębokiej odpowiedzialności za bezpieczeństwo nie tylko klientów, ale także innych podmiotów działających na rynku finansowym oraz w obronie zasad porządku społecznego. Wielokrotnie zachęcaliśmy wszelkie instytucje i obywateli, by przeciwstawić się cyberprzestępcom – aby eliminować takie działania w przyszłości, a nie zachęcać do podobnych bezprawnych ataków. Będziemy z pewnością kontynuować te działania” - pisał Plus Bank po zatrzymaniu hakera.

Warto zauważyć, że nie jest to powszechna praktyka. Jak dowiedzieliśmy się w 2017 roku, rok wcześniej Uber zgodził się spełnić żądania cyberprzestępców, którzy wykradli dane klientów - wśród których były też informacje na temat polskich użytkowników usługi.

Wszystkie firmy rzecz jasna zapewniają, że bezpieczeństwo klientów jest dla nich najważniejsze. Teoria swoje, a praktyka swoje. Z ankiety opublikowanej w lutym 2017 roku wynika, że zaledwie co piąty bank i ubezpieczyciel jest przekonany, że potrafi wykryć cyberprzestępstwo. I może właśnie dlatego incydentów nie brakuje. Z banków i serwisów co rusz wyciekają nasze dane. Dla właścicieli stron i na czarnym rynku wbrew pozorom są warte niewiele.

We wrześniu w darknecie pojawiło się ogłoszenie o sprzedaży danych ponad 3500 klientów polskich banków: Credit Agricole, Idea Banku, ING Banku Śląskiego i mBanku. Chodziło o pełne dane teleadresowe, adresy e-mail, numery rachunków oraz ich salda. Jeden rekord haker wycenił na 3 zł.

Jak to możliwe, że dane z banków wyciekają? Cóż, często najsłabszym ogniwem jest po prostu człowiek. Tak było w przypadku wycieku danych 18 tys. dłużników Getin i Noble Banku. Włamywacz przejął kontrolę nad komputerem jednego z pracowników, namawiając go do tego, by otworzył zainfekowany załącznik. Najprawdopodobniej lista dłużników została wykradziona z komputera, z którego korzystał pracownik. Lub pomogły w tym dane służące do logowania, które udało się wykraść.

Podobną do T-Mobile Usługi Bankowe wpadkę zaliczył Bank Millennium. Żeby zobaczyć i pobrać cudzą polisę ubezpieczeniową, wystarczyło w linku podmienić numer na inny. A więc każdy, kto posiadał taką polisę, w łatwy sposób mógł zerknąć na umowę innego klienta. I ujrzeć takie dane jak jego numer PESEL czy adres zamieszkania.

“Ustaliliśmy, że zostały wyświetlone polisy jedynie dwóch osób” - przyznał bank, który natychmiast po zgłoszeniu błędu naprawił swoją wpadkę.

Poważną wpadkę zaliczył też bank PKO, który wysłał karty płatnicze wraz PIN-em na nie ten adres, co trzeba. Karty dostarczono na podane przez klientów ulice z adresu zameldowania, ale miasto pochodziło już z adresu zamieszkania. Bank przyznał się do błędu i uspokajał, że “były to przypadki jednostkowe”.

Pozostaje mieć nadzieję, że w 2018 takich przypadków będzie mniej. A jeśli się zdarzą, to od 26 maja firmy słono za nie zapłacą. Właśnie wtedy w życie wejdzie Rozporządzenia o Ochronie Danych Osobowych (RODO).

Od maja 2018 roku firmy w ciągu 72 godzin będą miały obowiązek zgłoszenia każdego incydentu władzom, opinii publicznej i klientom, którzy mogli ucierpieć na skutek ataku. Jeśli przedsiębiorca tego nie zrobi, zapłaci gigantyczną karę - od 10 mln do 20 mln euro lub od 2 do 4 proc. rocznego obrotu - w zależności, która z sankcji będzie bardziej dotkliwa.