Wskazane zostały głównie dwa problemy: Brak odpowiedniej rozliczalności dotyczącej danych medycznych pacjentów (kto, kiedy, jaki dostęp uzyskiwał do danych) Brak wdrożonego dwuczynnikowego uwierzytelnienia przy dostępie do danych medycznych Nieco głębiej zakopana jest chyba ważniejsza przyczyna całej kontroli w szpitalu oraz nałożonej kary: On April 4, 2018, the Haga Hospital reported a…
Czytaj dalej »
Tym razem akcja dzieje się w Rumunii. Tamtejszy RODO nadzór właśnie ogłosił karę dla prawdopodobnie jednego z hoteli. Jaka była przewina ukaranego? Niezabezpieczenie w odpowiedni sposób papierowej listy osób, które zapłaciły za śniadanie. Lista ta została w sposób nieautoryzowany sfotografowana i umieszczona w Internecie: the deed: mishandling of clients’ personal data:…
Czytaj dalej »
Niedawno pokazała się informacja o proponowanej kwocie kary dla British Airways (około 800mln PLN) – w związku z naruszeniem RODO. Kolejna firma na celowniku brytyjskiego ICO to Marriott. O ogromnym wycieku z sieci rezerwacji Marriotta (i hoteli powiązanych) pisaliśmy jakiś czas temu. Wyciekły informacje o kilkuset milionach osób. Na dodatek…
Czytaj dalej »
Sam hack na British Airways rozpoczął się prawdopodobnie w pierwszej połowie 2018 i był działalnością tzw. grupy Magecart. Ekipa operuje poprzez przejęcie dostępu do istotnych serwisów (najczęściej zawierających możliwość realizacji płatności), wstrzyknięcie stosownego kodu JS, a następnie kradzież danych. W tym przypadku wykradziono pełne numery kart kredytowych + podstawowe dane osobowe (poszkodowanych…
Czytaj dalej »
Tym razem mamy przypadek upublicznienia nadmiarowego zestawu danych osobowych: Jeden ze związków sportowych upublicznił w sieci dane osobowe sędziów, którym przyznano licencje sędziowskie. Podano jednak nie tylko ich imiona i nazwiska, ale także dokładne adresy zamieszkania oraz numery PESEL. Ciekawy jest też opis samego wydarzenia. Można się też zastanawiać dlaczego próby usunięcia…
Czytaj dalej »
W ostatnich dniach ponownie jest głośno o RODO. W ostatniej wysokiej karze poszło o brak wykonania obowiązku informacyjnego (wymaganego przez RODO), za pomocą poczty tradycyjnej lub telefonu. Wszyscy za to przechodzą dość szybko do porządku nad tematem wysyłki e-maili ze stosowną informacją o fakcie przetwarzania danych. I tu się zastanawiamy,…
Czytaj dalej »
Dokładna kwota to: 943 tys. zł. Naruszenie dotyczy braku obowiązku informacyjnego: Bardzo wiele osób, których dane przetwarzała ukarana spółka, nie miało o tym pojęcia. Administrator ich o tym nie powiadomił. Tym samym odebrał im możliwość skorzystania z praw, jakie przysługują im na gruncie RODO, czyli ogólnego rozporządzenia o ochronie danych. Nie mogły więc one…
Czytaj dalej »
Możesz dzwonić 24 na dobę na szwedzki numer 1177 i skonsultować się w temacie problemów zdrowotnych: 1177 – Medical Advice Number – Sjukvårdsrådgivning. The phone number 1177 offers health care advice twenty-four hours a day, year-round, all over Sweden. Informacje te są dość poufne prawda? I chyba nikt nie spodziewał…
Czytaj dalej »
Ankietę umieściliśmy na naszym facebookowym profilu, zagłosowało około 3200 osób. Wynik jest dość jednoznaczny: Tutaj warto dodać, że mamy dość świadom specyficznych czytelników. Może podobna ankieta w serwisie dla prawników dałaby odwrotny wynik? Zobaczmy na kilka ciekawych komentarzy. 1. Nieco może podkoloryzowane, ale coś w tym jest: Zmniejszyło. Wyłudzenie kredytu…
Czytaj dalej »
W związku z wejściem RODO/GDPR mamy prawo zażądać przedstawienia naszych danych osobowych, które są przetwarzane w systemie IT danej firmy. Tak postąpił jeden z użytkowników amazon.de – otrzymując dość nietypową paczkę danych… bowiem nie należały one do niego. W przesłanej paczce było m.in. 1700 nagrań audio zebranych przez szpie asystenta…
Czytaj dalej »
Jak to w wielu startupach bywa – security ma najniższy priorytet. Braku bezpieczeństwa w końcu nie widać gołym okiem. No chyba, że przydarzy się wyciek. Taka sytuacja miała miejsce w przypadku aplikacji Urban Massage. Jak widać, można z tej usługi – będącej swego rodzaju Uberem dla fizjoterapeutów – skorzystać bez…
Czytaj dalej »
Worldfence donosi o aktywnie wykorzystywanej podatności w wordpressowym pluginie WP GDPR Compliance (100 000+ instalacji). W skrócie, każdy anonimowy internauta możne uzyskać uprawnienia administratora a później np. wgrać backdoora na serwer: The reported vulnerabilities allow unauthenticated attackers to achieve privilege escalation, allowing them to further infect vulnerable sites. Jedna z…
Czytaj dalej »
Najpierw wybucha afera z hackiem British Airways. Zarówno klasyczny jak i mobilny serwis umożliwiający płatności był zhackowany przez dwa tygodnie. Prawdopodobnie została wykorzystana tutaj w pewien sposób zmodyfikowana biblioteka JavaScriptowa Modernizr. Obecnie liczba dotycząca wykradzionych danych została zaktualizowana. Są to dane kart kredytowych (często pełne – łącznie z datami ważności…
Czytaj dalej »
Zawsze zadziwiali mnie ludzie, którzy wierzą że „procedurą można uczynić świat bezpieczniejszy”. Masz przygotowaną politykę bezpieczeństwa… a – to na pewno dobrze chronisz dane osobowe :) Dokumentacja jest oczywiście potrzebna, ale naszym zdaniem corem zabezpieczeń w przypadku systemów IT powinna być dobrze zarządzana technologia. No właśnie, wracając do technologii –…
Czytaj dalej »
Chodzi o usprawnienie procesu komunikacji z urzędem skarbowym – w pewnym momencie użytkownicy dzwoniący na infolinię otrzymywali prośbę o podanie próbki głosu, tak aby móc się nim później identyfikować: For some calls we are introducing a quicker and more secure way for you to identify yourself. You can skip these…
Czytaj dalej »