Útok na testovací server platformy MyConnector zpřístupnil údaje skutečných uživatelů. Rumunský úřad uložil pokutu a výslovně nařídil používat při vývoji a testování fiktivní data.

Rumunský dozorový úřad ANSPDCP oznámil 16. října výsledek šetření společnosti MYCONNECTOR PLATFORM SRL. Provozovatel platformy sám ohlásil porušení zabezpečení podle článku 33 GDPR. Vyšetřování následně ukázalo, že útočník získal přístup k testovacímu serveru, na němž se nacházely osobní údaje uživatelů.

Šlo o e-mailové adresy, telefonní čísla, jména a příjmení, národní identifikační čísla i série a čísla průkazů totožnosti. Úřad vytkl nedostatečná bezpečnostní opatření pro testování aplikace a používání skutečných osobních údajů namísto fiktivních. Tím se incident dotkl významného počtu lidí a jeho dopad se podle úřadu zhoršil; přesný počet zveřejněná zpráva neuvádí.

Za porušení článku 32 odst. 1 písm. b) a odst. 2 GDPR dostala společnost pokutu 31 451 rumunských lei, odpovídající 6 000 eur. Vedle sankce musí zavést vnitřní postup, který zajistí výhradní používání fiktivních dat ve vývojových a testovacích prostředích. Nejde tedy jen o opravu konkrétního napadeného serveru, ale i o změnu způsobu přípravy testovacích dat.

Pro organizace je případ připomínkou, že označení prostředí jako testovacího nesnižuje citlivost nahraných údajů. Před kopírováním produkční databáze je vhodné ověřit, které informace test skutečně potřebuje, zda je lze nahradit syntetickými a kdo k prostředí získá přístup. Samotné nahlášení incidentu splní oznamovací povinnost, ale nezhojí nedostatky zabezpečení, které úniku předcházely.