Energetikos milžinė „ENGIE“ patvirtino klientų duomenų vagystę – užpuolikai įsilaužė per partnerių platformą

Sekite TechNaujienos Google

Prancūzijos energetikos bendrovė „ENGIE“ patvirtino, kad kibernetiniai nusikaltėliai pasiekė dalies klientų kontaktinius ir sutarčių duomenis. Ataka įvyko ne pagrindinėse bendrovės informacinėse sistemose, o rinkodaros ir klientų pritraukimo platformoje, kuria naudojosi partneriai. Tokia atakos kryptis išryškina silpnąją skaitmeninės ekonomikos vietą: duomenys keliauja tarp įmonių, net kai klientas to beveik nepastebi.

Spalio 27–28 d. paskelbtame pranešime pateikiamos pagrindinės incidento detalės. Apie incidentą spalio 27 d. pranešė „BleepingComputer“, gavęs pačios „ENGIE“ paaiškinimą. Įmonė nurodė sustabdžiusi neteisėtą prieigą, informavusi atsakingas institucijas ir susisiekusi su paveiktais žmonėmis. Pirminis tyrimas rodo, kad nukentėjo Prancūzijoje esantys klientai; bendrovė viešai nenurodė tikslaus jų skaičiaus. „ENGIE“ vidaus IT sistemos, jos teigimu, nebuvo kompromituotos.

Pranešimuose klientams minimi vardai ir pavardės, pašto bei el. pašto adresai, telefono numeriai, klientų ir sutarčių identifikatoriai, taip pat dalis su energijos tiekimo taškais susijusių kodų. Bankinių duomenų, įmonės teigimu, ataka nepalietė. Tai svarbi, bet ribota gera žinia: sukčiams nereikia banko kortelės numerio, kad jie galėtų parengti įtikinamą apsimestinį skambutį ar laišką.

Energijos tiekimo santykis su klientu dažnai atrodo paprastas: sąskaita, sutartis ir skaitiklio rodmenys. Tačiau už šio santykio gali veikti skirtingi paslaugų tiekėjai – nuo reklamos platformos iki skambučių centro. Jei kiekvienas partneris gauna atskirą klientų duomenų kopiją, rizikos plotas didėja. Saugumo ekspertai tokį modelį vertina kaip tiekimo grandinės iššūkį, nes pagrindinis paslaugos teikėjas ne visada gali tiesiogiai valdyti partnerio administratoriaus paskyrą ar jo sistemų atnaujinimus. Todėl sutartyse svarbu numatyti aiškias tikrinimo ir atsakomybės procedūras.

Naujausi straipsniai

4 min. skaitymo • prieš 2 minutės

Britanijos policijos duomenis saugantys tiekėjai buvo atakuoti ne kartą – auditas atskleidė pavojingą spragą

4 min. skaitymo • prieš 22 minutės

Danijoje įsilaužta į universitetą: 525 tūkst. žmonių duomenys atsidūrė pavojuje, teko keisti įėjimo kodus

4 min. skaitymo • prieš 42 minutės

„Apple“ skubiai taiso senesnius „iPhone“: spraga jau naudota tikslinėse atakose – patikrinkite atnaujinimus

Visi naujausi straipsniai →

Duomenų vertė užpuolikui nepriklauso vien nuo to, ar faile yra mokėjimo kortelės numeris. Tikras vardas, sutarties numeris ir energijos tiekimo identifikatorius gali padėti kurti itin įtikinamas apgaules. Sukčius gali teigti žinantis kliento sąskaitą ir prašyti vienkartinio autentifikavimo kodo, pavyzdžiui, tariamam permokos grąžinimui. Jei žmogus pasitiki tokia žinute dėl tiksliai nurodytos sutarties informacijos, sukčiavimas tampa lengvesnis. Todėl duomenų nutekėjimų pasekmės kartais išryškėja ne iš karto, o po kelių savaičių ar mėnesių.

ES duomenų apsaugos taisyklės reikalauja tinkamai vertinti pažeidimus ir prireikus informuoti priežiūros institucijas bei pažeidžiamus asmenis. Vis dėlto konkretus įpareigojimas priklauso nuo rizikos ir nustatytų aplinkybių. Bendrovės pasakymas, kad banko informacija nepavogta, neatleidžia nuo pareigos apsaugoti kitus asmens duomenis. Lietuvos vartotojas, sužinojęs apie partnerio incidentą, turėtų išsiaiškinti, kokie jo duomenys galėjo patekti užpuolikams ir kokius papildomus veiksmus rekomenduoja paslaugos teikėjas, o ne pasikliauti vien bendrais pranešimais socialiniuose tinkluose.

Kaip atsiranda grėsmė ir ką ji reiškia

Turėdami tikrą sutarties numerį ir kliento adresą sukčiai gali apsimesti energijos tiekėju, tariamai tikslinti skaitiklio duomenis, prašyti apmokėti neegzistuojančią skolą arba nukreipti į netikrą savitarnos puslapį. Tai nereiškia, kad tokie išpuoliai jau masiškai vyksta po šio incidento; kalbama apie riziką, kurią leidžia sukurti pavogtų duomenų pobūdis. Todėl įtartinus pranešimus būtina tikrinti nepriklausomais kanalais.

„ENGIE“ yra didelė energetikos grupė, veikianti daugelyje šalių ir valdanti įvairias paslaugas. Tačiau dabartiniame incidento aprašyme nėra patvirtinimo, kad nutekėjo Lietuvos klientų duomenys. Ši detalė ypač svarbi mūsų skaitytojams: tarptautinė bendrovė ir incidentas Prancūzijoje savaime nereiškia tokio paties poveikio kiekvienoje šalyje.

Lietuvos vartotojui, gavusiam netikėtą pranešimą apie energijos tiekimo sutartį, saugiausia pirmiausia prisijungti prie oficialios savitarnos, o ne spausti laiške pateiktą nuorodą. Jei skambinantis asmuo nurodo tikrą vardą ir kliento numerį, tai savaime neįrodo jo tapatybės. Tokius duomenis sukčiai gali gauti iš įvairių šaltinių. Panašiai ir įmonės klientų aptarnavimo darbuotojai neturėtų vien pagal lengvai gaunamą sutarties informaciją atverti galimybės keisti paskyros slaptažodį arba banko sąskaitą. Patikimi papildomi tapatybės tikrinimo veiksmai tampa ypač svarbūs po to, kai rinkoje pasirodo didesnių klientų duomenų rinkinių.

Ką turi žinoti Lietuvos naudotojai ir įmonės

Verslams pamoka platesnė. Net ir atskira rinkodaros sistema turi būti vertinama kaip vieta, kur laikomi reikšmingi asmens duomenys. Tiekėjų prieigos, saugojimo terminai, sutarties sąlygos ir incidentų pranešimų tvarka turi būti aiškūs dar prieš perduodant klientų sąrašus. Kitaip organizacija gali valdyti pagrindinį savo tinklą tvarkingai, bet vis tiek susidurti su duomenų nutekėjimu partnerio aplinkoje.

Jei vartotojas gauna pranešimą apie galimą savo duomenų nutekėjimą, naudinga jį išsisaugoti, stebėti neįprastus skambučius bei nepateikti papildomų duomenų asmenims, kurie prisistato skubiai sprendžiantys problemą. Tikrinimui tinka oficiali paslaugos programėlė arba savarankiškai surinktas svetainės adresas. Ataka dar kartą primena, kad skaitmeninis saugumas nesibaigia vien slaptažodžiu. Plačiau apie susijusias technologijų saugumo problemas rašėme ankstesniame „TechNaujienos.lt“ straipsnyje.