Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal anunță că a deschis o anchetă asupra portalului imobiliare.ro care a fost afectat de o breșă de securitate ce a expus datele a peste 200.000 de fișiere.
Incidentul ne-a fost transmis prin intermediul unei dezvaluiri publice de către cercetătorii de la Website Planet la finalul lunii trecute.
Conform acestora, unul din cele mai mari portaluri imobiliare din România, Imobiliare.ro, a suferit o încălcare a datelor care ar putea afecta întreaga bază de date a clienților săi. Rămâne necunoscut dacă informațiile despre clienți ale companiei au căzut în mâinile hackerilor, dar s-a constatat că datele stocate de companie au fost expuse, fără protecție prin parolă sau criptare.
Ca parte a efectuării scanărilor de rutină ale serverelor pentru a detecta potențialele vulnerabilități, echipa Website Planet a descoperit că compania afectată și-a lăsat nesecurizat AWS S3 Bucket.
Configurarea greșită a însemnat că oricine încearcă să acceseze datele companiei ar fi putut face acest lucru fără a întâmpina măsuri de securitate de bază, cum ar fi protecția prin parolă.
Efectiv, oricine ar fi putut accesa servciul Amazon Bucket doar introducând adresa URL corectă.
Datele expuse au fost stocate în 35.738 fișiere .PDF și 165.316 .JPG și au inclus informații de identificare personală, cum ar fi:
- Nume complete
- Numere de telefon
- Adresa de acasa
- E-mailuri
- Număr CNP (Cod Numeric Personal – Cod Numeric Personal, un număr unic de identificare)
- Semnături personale
Alte informații despre clienți compromițătoare au inclus:
- Contracte imobiliare între clienți și agenție.
- Documente de proprietate, inclusiv planuri arhitecturale, specificații detaliate și locații ale proprietății.
- Extrase funciare și documente ANCPI (Agenția Națională pentru Cadastru și Publicitate)
- Imagini de profil ale utilizatorilor
- Copii scanate ale cărților de identitate naționale, inclusiv serii și CNP.
- Prețul solicitat al proprietății.
- Descriere detaliată a proprietăților, inclusiv locația, împrejurimile și serviciile locale.
Această breșă de securitate a expus peste 200.000 de înregistrări de imobiliare.ro, dar numărul exact al persoanelor afectate de încălcare rămâne necunoscut.
Înregistrările Imobiliare.ro au fost parțial complete, unele înregistrări relevând date de identificafre pentru mai multe persoane, prin urmare, numărul total de înregistrări nu poate fi utilizat pentru a estima numărul de persoane afectate. Mai multe înregistrări descoperite includeau doar informații despre cumpărător sau vânzător, în timp ce altele conțineau și informații despre agent.
Echipa noastră de cercetare a contactat prima dată Imobiliare.ro pe 1 decembrie 2020 și AWS pe 11 decembrie 2020, dar nu am primit nici răspuns de la companie. O lună mai târziu, după câteva încercări suplimentare, am ajuns la Ringier (care deține Imobiliare) pe 10 ianuarie 2021. Au revenit la noi și Imobiliare a închis breșa o zi după aceea.
spun cei de la Website PlanetAceastă breșă de securitate a fost insa confirmată și de cei de la Imobiliare.ro care au declarat că au remediat situația și au închis breșă.
În luna ianuarie 2021, am detectat o potențială vulnerabilitate în sistemele noastre interne de stocare a datelor. Compania noastră a demarat prompt o investigație. Vulnerabilitatea a fost rapid remediată. Investigațiile interne cu privire la cauze și consecințele potențiale continuă.
spun cei de la imobiliare.roUtilizatorii Imobiliare ar fi putut face puțin pentru a preveni scurgerea datelor lor. Culpabilitatea pentru scurgerea serverului revine în întregime companiei.
Cu toate acestea, utilizatorii pot atenua riscurile cu care se confruntă din cauza securității cibernetice slabe prin intermediul unor companii terțe, cum ar fi companiile de raportare a creditelor de consum care oferă asistență pentru recuperarea identității, dacă informațiile personale divulgate au fost folosite pentru a deteriora istoricul creditului cuiva sau pentru a comite alte infracțiuni sub un nume asumat.
În ceea ce privește atenuarea amenințărilor, utilizatorii pot lua măsuri proactive pentru a-și îmbunătăți securitatea cibernetică contactând compania cu care colaborează și solicitând informații despre modul în care sunt stocate informațiile lor personale, pe ce durată și în ce politică.
Incidentul este acum anchetat de Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal care spune că nu a fost notificată cu privire la acest incident.
Urmare a verificării evidențelor instituției noastre, nu a fost identificată notificarea unei încălcări a securității datelor cu caracter personal transmisă de către operator. având în vedere informațiile din spațiul public, Autoritatea de supraveghere a demarat deja o investigație la operatorul în cauză în exercitarea competențelor sale de control.
spun autoritățilePotrivit autorității, lipsa notificării poate fi sancționată cu avertisment, cu amendă de până la maxim 10 milioane de euro sau, în cazul unei întreprinderi, de până la 2% din cifra de afaceri mondială totală anuală.
