W przypadku incydentów bezpieczeństwa związanych z wyciekami danych rzadko można napisać coś dobrego o sposobie w jaki poszkodowana firma reaguje na incydent oraz jak informuje ofiary. Tym razem jest jednak inaczej.
Włamania i wycieki danych stają się chlebem powszednim firm i ich klientów. Miliardy wpisów z baz danych takich gigantów jak Adobe, LinkedIn czy Myspace krążą po sieci. W dzisiejszych czasach mówi się nawet, że incydentom nie można zapobiec – można jedynie skracać czas ich wykrycia i poprawiać sposób reakcji. Dzisiejszy artykuł będzie właśnie o reakcji – i to o reakcji właściwej i całkiem dojrzałej.
Szybkie i zdecydowane ruchy
Netii trzeba przyznać, że na informacje o incydencie zareagowała szybko i zdecydowanie. Według naszych danych między pojawieniem się w sieci pierwszych informacji o włamaniu i wycieku danych a wyłączeniem serwerów WWW minęło najwyżej kilkadziesiąt minut. Na nas zrobiło to wrażenie. Informacja o włamaniu przez kilka godzin nie docierała do mediów, a Netia już walczyła z incydentem. Co więcej, szybko oceniając metodę ataku włamywaczy, wyłączyła serwery które mogły być wykorzystywane do dalszego wykradania danych – co nie dla każdej firmy jest tak oczywiste (znamy przypadki incydentów które rozwijały się na szkodę firmy wiedzącej już o intruzach w swojej sieci, ponieważ ktoś podjął decyzję „ale serwer poczty to zostawmy bo go potrzebujemy”). Netia prawidłowo uznała, że lepiej odciąć klientów od swojej witryny niż zostawić ją pod kontrolą włamywaczy.
Według komunikatów prasowych Netia zdecydowała się także na zatrudnienie zewnętrznego podmiotu, który ma pomóc w zarządzaniu incydentem. To także mądra decyzja – niewiele jest w Polsce organizacji posiadających takie kompetencje wewnątrz i na dobrym poziomie.
Komunikacja z mediami
W przeciwieństwie do niektórych innych polskich firm które padły ofiarami włamywaczy Netia komunikowała się ze światem prawie wzorowo. Co prawda treść komunikatów była nieco opóźniona wobec naszych ustaleń (np. określenie zakresu wycieku nastąpiło dopiero następnego dnia) ale jesteśmy w stanie zrozumieć, że w takiej sytuacji nawet posiadanie przez Netię kompletu informacji w pierwszych godzinach incydentu nie musi oznaczać przekazywania wszystkiego na zewnątrz. Lepiej przekazywać informacje trzy razy zweryfikowane niż raz się w komunikacie pomylić. Netia w swoich komunikatach zawarła wszystkie istotne dane i choć miały one nutkę PR-ową to była ona delikatna i nikt nie próbował chować afery pod dywanem.
Również w komunikacji z nami Netia była bardzo rzeczowa i przyjazna. To miła odmiana po groźbach przekazywanych przez wynajętych prawników. Podziwiamy tym bardziej, że domyślamy się w jakim stresie musiały pracować osoby zajmujące się obsługą incydentu.
Komunikacja z klientami
Dzisiaj Netia poinformowała o incydencie wiele osób, których numery telefonów lub adresy email znalazły się wśród wykradzionych danych. Komunikat był jasny i prosty. Treść SMSa wyglądała następująco:
Komunikat Netii
Z kolei w wiadomości poczty elektronicznej był pełen komunikat (taki sam jak pod podanym adresem WWW):
Szanowni Państwo,
niezwłocznie informujemy, że 7 lipca 2016 roku strona internetowa netia.pl została zaatakowana przez hakerów. Doszło do naruszenia danych osobowych, które przekazali Państwo poprzez formularze na stronie netia.pl
Pragniemy pokreślić, że dane Klientów oraz firm współpracujących są zabezpieczone przez ekspertów Spółki, których wspomaga dodatkowy, wysoko wykwalifikowany, zewnętrzny zespół doradczy.
Hasła i loginy do portalu samoobsługowego NetiaOnline są bezpieczne, dlatego nie ma konieczności podejmowania żadnych dodatkowych działań ze strony Klientów.
Informacja o naruszeniu danych osobowych
W wykonaniu obowiązku określonego w art. 174a ust. 3 oraz ust. 8 ustawy z dnia 16 lipca 2004 r. – prawo telekomunikacyjne tj. z dnia 10 stycznia 2014 r. (Dz.U. z 2014 r. poz. 243 ze zm.), przekazujemy następujące informacje:
7 lipca 2016 r., o godz. 11:03 przeprowadzono atak hakerski na serwis netia.pl.
W wyniku ataku hakerskiego naruszone zostały dane osobowe abonentów Netia S.A. lub potencjalnych Klientów będących osobami fizycznymi. W wyniku ataku hakerzy uzyskali dostęp do danych użytkowników przekazywanych za pośrednictwem serwisu netia.pl (formularz kontaktowy oraz formularz umowy elektronicznej). Zgodnie z wiedzą Spółki bezprawnie uzyskane dane osobowe zostały opublikowane w sieci Internet i stały się publicznie dostępne.
Ze względu na naruszenie i publikację danych, jeśli jesteście Państwo proszeni poprzez mail, sms lub telefon o podanie danych osobowych lub dokonanie zmian na stronach (np. zmianę haseł) prosimy o zachowanie szczególnej ostrożności.
Netia przygotowała także stosowne zawiadomienia o zaistniałym zdarzeniu do właściwych organów, w tym w szczególności GIODO oraz organów ścigania.
Netia zabezpieczyła logi systemu oraz pozostałe informacje mogące pozwolić na ustalenie przebiegu ataku oraz podmiotów odpowiedzialnych. Odtworzyła także działanie systemu i zweryfikowała jego zabezpieczenia.
Obowiązek wysłania takiego komunikatu do klientów regulują przepisy Prawa Telekomunikacyjnego. Art. 174a ust. 3 mówi:
Netii trzeba przyznać, że zdążyła komunikat wysłać już drugiego dnia, co bez wątpienia nie jest sprawą łatwą (technicznie jest to dość proste, ale kto nie uzgadniał dwa tygodnie treści korporacyjnego komunikatu niech pierwszy rzuci kamieniem).
Co ciekawe, wiele osób na profilu facebookowym Netii twierdzi, że z firmą nigdy nie miało nic wspólnego. Jest wiele powodów, dla których te osoby mogły dostać SMSa (dużo mniej dla wiadomości email), wyjaśniamy je poniżej. Zjawisko to wskazuje, że faktycznie Netia obowiązek informacyjny potraktowała poważnie i wiadomość dostał każdy numer telefonu znajdujący się w ujawnionych danych.
Dostałem SMSa, a nigdy nie miałem z Netią nic wspólnego
Warto zacząć od wskazania, że ujawnione dane po pierwsze pochodziły głównie z formularzy zamówień/umowy oraz formularzy kontaktowych a po drugie sięgały 6 lat wstecz. Charakter formularzy wskazuje, że do zawarcia umowy z Netią wcale nie musiało dojść – mogło być to po prostu zapytanie o cenę, warunki czy dostępność usług. Co więcej, dane mogły być podawane na stronie partnera Netii, który przekazywał je firmie docelowej. Wśród ujawnionych danych na pewno znajdowały się informacje dotyczące osób, które nigdy klientami Netii nie zostały. Drugim ważnym elementem jest czas. Jeśli mieliście numer telefonu przez krócej niż 6 lat, to jest szansa, że jego poprzedni posiadacz mógł być klientem Netii (lub chciał nim zostać), po czym zmienił numer telefonu a jego stary numer trafił do Was – stąd zaskakujący SMS. Po trzecie ktoś mógł podać Wasz numer przez pomyłkę – baza była spora, więc i pomyłek w niej pewnie nie brakowało. Oczywiście jest także czwarta opcja – może kiedyś chcieliście się skontaktować z Netią, lecz po prostu o tym zapomnieliście.
Nieco inaczej wygląda sytuacja z adresem poczty elektronicznej – adresy rzadko przechodzą na inne osoby i trudniej zrobić w nich literówkę skutkującą powstaniem działającego adresu należącego do innej osoby. Jeśli dostaliście od Netii email o incydencie a nigdy nie mieliście z tą firmą żadnej relacji, skontaktujcie się z nimi i zapytajcie skąd taka wiadomość w Waszej skrzynce.
Podsumowanie
Na incydent Netia zareagowała bardzo profesjonalnie. Oczywiście lepiej gdyby do incydentu nie doszło, ale dobra reakcja także jest ważna – i do tego niestety nadal rzadko spotykana. Mamy nadzieję, że firma na tym nie poprzestanie i pójdzie krok dalej, udostępniając przynajmniej streszczenie raportu powłamaniowego. Byłby to chyba jeden z pierwszych przypadków tego typu na naszym rynku – a pewnie pierwszy dotyczący tak dużej firmy.
Aktualizacja 2016-07-10
Otrzymaliśmy najnowsze oświadczenie Netii:
7 lipca 2016 roku około południa strona internetowa netia.pl została zaatakowana przez hakerów. Wszystkie serwisy firmy działają prawidłowo. Hasła i loginy dostępu do NetiaOnline pozostały cały czas bezpieczne.
Ponieważ w wyniku włamania doszło do kradzieży i upublicznienia danych klientów i użytkowników z formularzy na stronie www.netia.pl, Netia powiadomiła niezwłocznie wszystkie osoby, do których danych dostęp mieli atakujący. Wszyscy zainteresowani otrzymali także informacje, jakich danych dotyczyło naruszenie. Wszelkie informacje znajdują się na stronie daneosobowe.netia.pl
Firma powiadomiła też wszystkie odpowiednie organy o zdarzeniu oraz jego potencjalnych konsekwencjach i podjętych środkach zaradczych.
Zdajemy sobie sprawę, że klienci i użytkownicy mogli być narażeni na dodatkowe niedogodności. Bezpieczeństwo jest dla nas priorytetem. Do tej pory stosowaliśmy zabezpieczenia zgodne z dobrymi standardami branżowymi, jesteśmy jednak zdeterminowani, by zminimalizować ryzyko podobnych wydarzeń w przyszłości. Netia przeprowadza, wraz z zespołem ekspertów od cyberbezpieczeństwa, gruntowną kontrolę wszystkich zabezpieczeń. Bardzo przepraszamy za sytuację, do której doszło.
Komentarze
Tylko mała uwaga – reakcja Netii wynika ze znowelizowanej ustawy która nakłada na serwis obowiązek poinformowania jego klientów o wycieku danych osobowych.
Jest o tym informacja w artykule…
Stąd tylko „mała” uwaga;)
Czy Netia powinna przechowywać numery telefonów z tych formularzy (zgoda na kontakt wyrażona tylko do celów przedstawienia oferty) ? Chodzi mi o GIODO etc
Zgodnie z art. 26 uodo dane powinny być przetwarzane nie dłużej niż jest to niezbędne do realizacji celu przetwarzania, więc moim zdaniem nie wszystko to jest ok że strony ado (netii) .nie widzę uzasadnienia żeby tak długo magazynować stare zapytania ofertowe, tym bardziej jeśli umowa nie doszła do skutku
Czy sam nr telefonu komórkowego dla postronnego podmiotu nie świadczącego tej usługi uważasz za dane osobowe? :)
„Szanowni Państwo,
niezwłocznie informujemy, że 7 lipca 2016 roku strona internetowa netia.pl została zaatakowana przez hakerów. Doszło do naruszenia danych osobowych (…)”
Czy ktos laskawie poinformuje w koncu zainteresowanych ze oprocz imienia, nazwiska, adresu domowego, adresu e-mail, rachunku bankowego etc, wyfrunely tez pesele i numery dowodow osobistych? Jakos informacja ta nigdzie nie pojawia sie w zadnym z trzech wpisow. Dump z esales.sql to nie jedyny plik, do ktorego link wciaz jest dostepny na twitterze. Kolejna sprawa, czy ktos rowniez poinformuje, ze Netia nie powinna trzymac tych danych az do 6 lat wstecz? Czy ktos juz laskawie przeprosil klientow obecnych i bylych ze musza sobie nowe dowody wyrobic? Czy szykuje sie juz jakas sprawa sadowa z tego powodu, czy – jak to bywa w bantustanie – rozejdzie sie po kosciach?
Jeśli jesteś jednym z klientów któremu takie dane zostały wykradzione to z pewnością przykre ale z tego co się orientuję 99% przypadków to same numery , adresy mailowe a poza tym skąd masz takie informacje o peselach i numerach dowodów? To trochę daleko wysunięte wnioski skoro jeszcze żaden klient nie nie skarży się na to a ty tak lekko twierdzenie wysuwasz. Nie sądzisz że firma taka jak Netia jest zobowiązana do poinformowania o tym swoich klientów? No i kto normalny w zgłoszeniu umieszcza takie dane jak numer dowodu i pesel?
Wg naszej wiedzy zakres danych mógł być bardzo różny w różnych tablicach, były też takie zawierające numery PESEL i numery dowodów.
Jestem klientem Netii. Dostałem SMS o przejęciu numeru telefonu. Ale…
1. Nigdy nie zawierałem umów za pomocą formularzy
2. Nigdy, w żadnym formularzu kontaktowym, nie podawałem numeru telefonu.
Więc skąd w skradzionych materiałach znalazł się mój numer? Jest on zamieszczony tylko, jeśli chodzi o strony dla mnie dostępne, w zakładce Dane Kontaktowe mojego konta w Netii. Są tam także inne dane (personalia, adres, e-mail), które również mogły (razem z numerem telefonu) zostać wykradzione.
Mam wrażenie, że Netia nie mówi nam wszystkiego. Czy hakerzy nie mieli dostępu do innych baz danych, w których zapisane są dane bardzie wrażliwe, jak numer dowodu osobistego i PESEL? Mieli sporo czasu – działali prawdopodobnie od kwietnia br.
Zatem tytuł „Netia wzorowo informuje osoby poszkodowane w wycieku” jest znacznie na wyrost – w informacji brak szczegółów i jest ona zwykłym „odwaleniem” obowiązku wynikającego z ustawy.
Wysłałem do Netii e-mail – czekam na konkrety.
no nie wiem czy tak wzorcowo:
w panelu klienta mam aktualne dane kontaktowe, efaktury przychodzą do mnie na maila, na tel dzwonią do mnie mendy z boku z „nowymi, korzystnymi ofertami” ale wiadomość o wycieku wysłuchała moja mama na numerze którego nie używam od kilku lat,
to ma być wzorcowo? na nie aktualny nr telefonu zadzwoniono by jednokrotnie odtworzyć krótką wiadomość która łatwo mogła by zostać uznana za telemarketingowy spam …
Czy są jakieś informacje nt. wycieku danych osobowych klientów usługi DROPSS?
Czy jeżeli dostałem tylko smsa i nic więcej, żadnego maila itp., mam rozumieć że tylko telefon wypłynął?
Mam z nimi umowę od 6 lat, nie pamiętam co podawałem w formularzu kontaktowym…
Mój telefon znajduje się w danych(sam zweryfikowałem) i nie dostałem smsa. Dostałem natomiast emaila
Do pełni szczęścia brakuje usługi monitorowania wykradzionych danych. Wszyscy wiemy, że dane osobowe w bazie usługodawcy to potencjalny zysk. Zatem ich nie upilnowanie powinno być jednoznaczne z realną stratą. Przekaz jasny. Traktujemy Was poważnie i przepraszamy. A co wiecej ponosimy odpowiedzialność za obecną sytuację zatem dajemy ochronę. Tak zrobiło Sony, tak robił OPM, tak robili inni. Choć i tak dardzo dobra reakcja jak na nasze warunki…
No tak zaciekle walczyli, ze jeszcze dwa dni dystrybowali malware ze swojej strony. Pewnie nikt nie mial hasla do wordpressa.
Zastanawiam się jakiego … WordPressa. Jeżeli jest krytyczna sytuacja i podejrzenie, że na strony „coś” mogło się dostać, to na czas analizy powinno się wstrzymać to co się da wstrzymać zmieniając potencjalnie niebezpieczne „index’y” i „default’y” na bezpieczne, mało funkcjonalne odpowiedniki (tzw. „powered by vi”). Ale to nie jest praktyka z dużej firmy, może w dużej uznali, że lepiej jak klienci mieliby stracić forsę w e-bankowości niż gdyby firma miała tracić na infoliniach bo „plose pani, a strona się nie otwiera i pisze, że remont”.
Cieszy mnie fakt że nie uzyskano dostępu do NetiaOnline, szkoda tylko że tego konta nie można usunąć… może podsuniecie ten pomysł dla Netii :)
A ja nic nie dostałem mimo obecności moich danych w wycieku.
GIODO twierdzi że nr. telefonu są daną osobową, a na pewno objęta tajemnicą telekomunikacji. http://blog.e-odo.pl/2013/01/03/czy-numer-telefonu-to-dana-osobowa/ Co do maila, to zależy czy się podało w nim imię i nazwisko.
Nie wiem, co w zachowaniu Netii jest „wzorowego”. Wypełnili wyłącznie ustawowy *obowiązek* o poinformowaniu abonentów. I pewnie zrobili to tylko dlatego, że dane ostały opublikowane, więc nie mogli zaprzeczać, że wyciek miał miejsce.
Dostałem od nich maila, dostałem SMS… Ani słowa o tym, że jest im chociaż przykro, że do tego doszło. Ani słowa przeprosin, o jakiejkolwiek rekompensacie nie wspominając. Co w tym „wzorowego”?
> Nie wiem, co w zachowaniu Netii jest „wzorowego”. Wypełnili wyłącznie ustawowy *obowiązek* o poinformowaniu abonentów.
No i to właśnie nazywamy wzorowym zachowaniem.
Netia powinna wypłacić rekompensaty. Jakby nie patrzeć dane ludzi wyciekły w tym i moje dane personalne dostałem e-maila z przeprosinami i że zajęli się tą sprawą… to że informują media prawie wzorowo nie zmienia faktu, że jakieś osoby trzecie nieuprawnione mają moje dane i je udostępniają publicznie. Skąd mam wiedzieć, że nie założą na mnie firmę ? wezmą jakieś kredyty?
Netia ustami swoich telefonicznych konsultantów twierdzi, że naruszone zostały tylko dane osób, które chciałby zgłaszały chęć kontaktu z ich strony, które sprawdzały, czy będą u nich działy usługi Netii (czyli wypełniały kiedykolwiek formularz Netii do kontaktu).
Twierdzą, że netiaonline nie zostało naruszone, więc takie dane jak numery dowodów, pesele itp., nie zostały wykradzione. Ile w tym prawdy to nie wiem i nie za bardzo im ufam. Dlaczego? Wczoraj dzwoniłem do nich rano z pytaniem czy moje dane zostały naruszone i otrzymałem informację, że absolutnie nie (rozmawiałem w sumie z trzema konsultantami i każdy z nich to samo powtarzał). Po czym 6h później dostałem SMSa o treści z artykułu. Dzisiaj konsultanci już twierdzą, że został naruszony tylko mój nr telefonu. Zastanawiam się więc, czy konsultanci o naruszeniu danych wiedzą dlatego, że mają wgląd do jakiejś bazy osób, którym te dane wykradziono, czy mają tylko dostęp do tego, kto otrzymał wiadomość o wykradzeniu danych? Konsultantka powiedziała tylko, że wie o naruszeniu, bo jej się to na ekranie pokazuje. Rozmowa o bazach danych to jakaś czarna magia dla niej była. Odpowiedzi na moje pytania (jakie moje dane zostały naruszone, jak mnie zweryfikują jeżeli okaże się, że wykradziono wszystkie wrażliwe dane, itp.), które zadałem wczoraj rano w mailu do [email protected] jeszcze nie otrzymałem i konsultanci nie wiedzą ile czasu może potrwać odpowiedź.
Ogólnie rozmowa z konsultantami telefonicznymi jest moim zdaniem bezsensownym marnowaniem czasu.
Aha… odpowiedź dostałem przed sekundą. Naruszone zostały: moje imię, nr telefonu i adres mailowy. Imię tylko? Dziwne…
Nie jest to prawdą do końca. Ponieważ włamanie podobno było 20 kwietnia a oni zorientowali się 7 lipca, co kolesie robili na ich serwerach przez 2 miesiące nie wiadomo i już nikt się nie dowie.
Pytanie podstawowe, jak to się stało. Bo ja nigdy nie zostawiłem danych netii na formularzu, nigdy nie byłem ich klientem, nigdy, nigdzie nie podałem swoich danych razem z telefonem a teraz ten sms a od poczatku mają 2016 pierwszy raz od kiedy mam ten numer tel(prawie 20lat) dostaje po 30 tel dziennie ze stalkingiem.
Zbieg okoliczności ? Nie bardzo.
Potwierdzam numery PESEL, Seria i nr dowodów, numery zleceń oraz umów, nawet opisane, czy klient dostał coś w pakiecie.
ale tylko dla pozytywnie lub negatywnie rozpatrzonych umów.
Nawet jest tan nazwisko osoby która nas „naciągała” ;)
Czesc danych jest rzeczywiscie z formularza kontaktowego.
Czesc to zgloszenia usterek (też zabawne) przez www
A może należy zwrócić uwagę na to że te chrzanione firmy przetrzymują w nieskończoność dane osobowe ludzi którzy kiedykolwiek sie z nimi komunikowali.
I to nie jest normalne
A ja dopiero dzisiaj (2016-07-13) dostałem smsa. Jako że byłem ich klientem i mają o wiele więcej niż mój nr telefonu, wysłałem email z pytaniem jakie jeszcze inne dane wyciekły.
Czyli jak rozumiem jeśli nie dostałem z Netii żadnej informacji o włamaniu na ich serwery to moje dane są bezpieczne i nie wyciekły? Po lekturze kilku artykułów w sieci naprawdę ciężko mi się zorientować co w końcu wyciekło i jak się dowiedzieć czy akurat moje dane nie zostały ruszone.
Jakie szemrane instytucje polityczne zwizane z Netia musialy stac za niezrozumialym dla wielu kupnem przez Netie Tk-Telekom za ledowo roczny dochod Tk czyli ok 200 mld zl ? To jest jawny przekret , kto na to pozwala w spolce panstowej PKP ? I dlaczego tak beznajdziejna i niepowazna instytucja jak Netia dostala mozliwosc wykupienia TK ? O czyms to swiadczy. O jakosci Netii jak i calej polityki za nia stojacej…
coż mi z wzorowego powiadomienia jak emil wyciekl i teraz mam jakies 20 spam maili na godzine … wszystkie od niemieckich informatykow
Jeśli chodzi o loginy to nie wiem po co są one także publikowane na przekazach opłaty za usługi (na tej mniejszej części która zostaje na poczcie), zresztą końcówki numerów kont na które wpłacamy to też login, pozostają tylko hasła które są krótkie i opcji samodzielnej zmiany na dłuższe z poziomu konta nie ma.
Netia wzorowo informuje ? xDDDD Chyba nie czytaliscie tego XD
http://www.wykop.pl/link/3264959/netia-zwalnia-pracownika-po-tym-jak-zglosil-wlamanie-na-konto/