Akademia NIS2/KSC2 od sekuraka. 19 października start drugiej edycji!
Zobacz nasz aktualny kalendarz szkoleń!
Phishing na UODO – oszuści wyłudzają dane o monitoringu wizyjnym
Nie tak dawno, bo w lipcu 2026, Prezes Urzędu Ochrony Danych Osobowych nałożył ponad 26 tys. zł kary w związku z przetwarzaniem danych osobowych za pomocą monitoringu wizyjnego, który obejmował m.in. drogę publiczną.
TLDR:
- CSIRT GOV poinformował UODO o kampanii phishingowej skierowanej do firm instalujących monitoring wizyjny.
- Oszuści podszywają się pod urząd i próbują wyłudzić szczegółowe informacje o instalacjach, w tym adresy IP, numery seryjne i wersje oprogramowania kamer.
- Pozyskane informacje mogą ułatwić identyfikację urządzeń potencjalnie podatnych na ataki oraz wykorzystanie ich fabrycznych ustawień.
- UODO zaprzecza, by wysyłał takie wiadomości lub zbierał wskazane w nich informacje. Przed przekazaniem danych należy zweryfikować autentyczność korespondencji i podstawę prawną żądania.
Ukarana osoba zamontowała kamery rejestrujące zarówno obraz, jak i dźwięk, obejmujące swoim zasięgiem zarówno jej prywatny teren, jak i drogę publiczną oraz sąsiednie nieruchomości. Sąsiedzi złożyli skargę do Prezesa UODO, który po przeprowadzeniu postępowania administracyjnego dopatrzył się nieprawidłowości i wydał decyzję nakazującą zaprzestanie przetwarzania danych osobowych skarżących. Mowa o wizerunku oraz głosie utrwalanym za pomocą monitoringu wizyjnego. Powodem takiej decyzji był brak podstawy prawnej dla tego procesu przetwarzania.
Właściciel monitoringu mógł w ciągu 7 dni usunąć kamery lub przestawić je tak, by obejmowały tylko jego posesję, jednak tego nie zrobił. Nie wniósł też skargi na decyzję PUODO, w związku z czym stała się ona prawomocna.
Prezes UODO Mirosław Wróblewski wszczął więc kolejne postępowanie administracyjne – tym dotyczące nałożenia administracyjnej kary pieniężnej za nieprzestrzeganie nakazu nałożonego przez organ nadzorczy. Kamery pomimo wydanej decyzji, wciąż funkcjonowały przez prawie pół roku, co organ potraktował jako jedną z obciążających okoliczności. Nałożono więc karę w wysokości 26 711 zł.
Nie ma wątpliwości, że kara ta stanowi przykład zdecydowanego działania organu nadzorczego. Była to bowiem pierwsza kara Prezesa UODO, która dotyczy prywatnego monitoringu. Opinia publiczna otrzymała więc sygnał, że Urząd Ochrony Danych Osobowych zajmuje się także sytuacjami, w których dane przetwarza osoba fizyczna (a niekoniecznie firma – wbrew powszechnym skojarzeniom dotyczącym RODO).
Cyberprzestępcom taki stan rzeczy może być na rękę. Pojawiły się bowiem przypadki podszywania pod Urząd Ochrony Danych Osobowych. Mowa o fałszywych prośbach o przesyłanie szczegółowych informacji dotyczących monitoringu wizyjnego.
19 października CSIRT GOV (Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego) poinformował UODO o kampanii skierowanej do firm instalujących monitoring. Nadawca, podszywający się pod urząd, żąda od adresatów informacji na temat instalacji monitoringu wizyjnego, w tym zwłaszcza danych kontaktowych użytkownika końcowego, lokalizacji (wraz z dokładnymi współrzędnymi geograficznymi), adresów IP urządzeń i ich numerów seryjnych, a także wersji oprogramowania firmware oraz informacji o modelu kamery.
Treść fałszywej wiadomości:
| Szanowni Państwo. W związku z prowadzoną analizą zgodności systemów monitoringu wizyjnego z obowiązującymi przepisami dotyczącymi ochrony danych osobowych, w szczególności art. 5 ust. 1 lit. f, art. 25 oraz art. 32 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), zwracamy się o przygotowanie szczegółowego zestawienia instalacji systemów monitoringu wizyjnego wykonanych przez Państwa przedsiębiorstwo w okresie ostatnich 12 miesięcy… |
Wraz z profesjonalnie brzmiącą prośbą przesyłana jest tabelka do wypełnienia oraz ponaglenie:
| Prosimy o przekazanie kompletnego zestawienia w formacie XLSX w terminie 7 dni roboczych od otrzymania niniejszego pisma […] Niniejszy wniosek stanowi urzędowe wezwanie UODO |
Oszuści domagają się wskazania m.in. adresów IP urządzeń, numerów seryjnych, wersji oprogramowania. Takie informacje pozwalają zidentyfikować kamery z nieaktualnym oprogramowaniem (czyli potencjalne cele ataku). Mając wiedzę o dokładnych modelach urządzeń, możliwe jest także ustalenie fabrycznych parametrów urządzeń (o ile instalator lub użytkownik ich nie zmienił) – a one mogą być pomocne w potencjalnym ataku.
Urząd Ochrony Danych Osobowych poinformował, że nie wysłał takiej wiadomości e-mail, nigdy takich pism/ankiet nie rozsyła, a także nie zbiera informacji, o które proszono w wiadomości. Zaleca zachowanie szczególnej ostrożności i każdorazowe weryfikowanie, czy korespondencja rzeczywiście pochodzi od podmiotu, który podaje się za jej nadawcę.
Administratorom danych przypominamy, że wszelkie procesy przetwarzania powinny mieć podstawę prawną, a przekazanie danych Urzędowi także jest taką czynnością. Żaden z wymienionych w treści wiadomości artykułów sam w sobie nie stanowi podstawy prawnej do przekazania informacji, o które poproszono.
Z punktu widzenia administratora danych, problematyczne powinno być nie tylko podszycie się pod urząd, ale też brak podstawy prawnej do przekazania danych. Sposobem ochrony przed tego typu atakiem jest więc znajomość i stosowanie przepisów, które nas dotyczą. Oprócz tego i tak warto weryfikować “dziwne” żądania, które otrzymujemy (kontaktując się z domniemanym nadawcą innym kanałem komunikacji).
Źródła:
~Tymoteusz Jóźwiak
