Κυβερνοεπίθεση αποκάλυψε τη μη διαγραφή προσωπικών δεδομένων 30.000 πελατών εταιρείας εμπορίας αυτοκινήτων

Το πόσο σημαντική είναι η διαγραφή προσωπικών δεδομένων, όχι μόνο για τη συμμόρφωση με τις αρχές του ΓΚΠΔ, αλλά και για τον περιορισμό της έκθεσης σε περίπτωση κυβερνοεπίθεσης έρχεται να υπενθυμίσει πρόσφατη απόφαση της δανικής αρχής προστασίας δεδομένων.

Στην προκείμενη περίπτωση, η κυβερνοεπίθεση που πραγματοποιήθηκε σε εταιρεία εμπορίας αυτοκινήτων στη Δανία αποκάλυψε σοβαρές παραλείψεις στη διαχείριση και διαγραφή προσωπικών δεδομένων, αφού είχε ως αποτέλεσμα τη διαρροή πληροφοριών περισσότερων από 48.000 πελατών και εργαζομένων, συμπεριλαμβανομένων στοιχείων ταυτοποίησης και οικονομικών δεδομένων.

Το αξιοσημείωτο στην υπόθεση είναι ότι τα προσωπικά δεδομένα 25.000 έως 30.000 από τα πρόσωπα που επηρεάστηκαν από την επίθεση, δεν θα έπρεπε καν να βρίσκονται στα συστήματα της εταιρείας, καθώς είχε ήδη παρέλθει ο προβλεπόμενος χρόνος διατήρησής τους. Την παράλειψη αυτή διαπίστωσε η δανική αρχή προστασίας δεδομένων Datatilsynet, η οποία, με απόφασή της στις 9 Νοεμβρίου 2026, άσκησε σοβαρή κριτική στην εταιρεία Jan Nygaard, κρίνοντας ότι η διατήρηση των δεδομένων σε παλαιό διακομιστή, χωρίς επαρκή έλεγχο της εφαρμογής των διαδικασιών διαγραφής, συνιστούσε παράβαση των υποχρεώσεών της κατά τον ΓΚΠΔ.

Η κυβερνοεπίθεση και η έκταση της διαρροής

Η υπόθεση ξεκίνησε τον Ιανουάριο του 2025, όταν η εταιρεία διαπίστωσε ότι τα πληροφοριακά της συστήματα είχαν παραβιαστεί. Από τη διερεύνηση προέκυψε ότι οι δράστες είχαν αποκτήσει πρόσβαση ήδη από τις 30 Δεκεμβρίου 2024, εκμεταλλευόμενοι λογαριασμό χρήστη που δεν διέθετε πολυπαραγοντική αυθεντικοποίηση (MFA), ενώ στη συνέχεια απέκτησαν αυξημένα δικαιώματα πρόσβασης στα συστήματα.

Η επίθεση περιλάμβανε κρυπτογράφηση αρχείων με κακόβουλο λογισμικό ransomware και υποκλοπή δεδομένων, τα οποία οι δράστες απείλησαν να δημοσιοποιήσουν στο σκοτεινό διαδίκτυο (dark web).

Η αρχική εκτίμηση της εταιρείας έκανε λόγο για 22.600 επηρεαζόμενα πρόσωπα, ωστόσο η περαιτέρω διερεύνηση ανέβασε τον αριθμό σε περισσότερα από 48.000, μεταξύ των οποίων 194 εργαζόμενοι. Τα δεδομένα που διέρρευσαν περιλάμβαναν ονόματα, στοιχεία επικοινωνίας, αριθμούς προσωπικής ταυτοποίησης και, σε ορισμένες περιπτώσεις, αντίγραφα αδειών οδήγησης, φορολογικά έγγραφα και εκκαθαριστικά μισθοδοσίας.

Τα δεδομένα που έπρεπε να είχαν διαγραφεί

Το σημαντικότερο εύρημα του ελέγχου δεν αφορούσε την ίδια την παραβίαση των συστημάτων, αλλά τη διατήρηση μεγάλου όγκου προσωπικών δεδομένων σε αποθηκευτικό χώρο που δεν έπρεπε πλέον να χρησιμοποιείται.

Ήδη από το 2018, η εταιρεία είχε αποφασίσει τη μεταφορά της διαχείρισης των σχετικών αρχείων στο SharePoint, όπου λειτουργούσε μηχανισμός αυτόματης διαγραφής σύμφωνα με τις καθορισμένες προθεσμίες διατήρησης. Παράλληλα, είχε δώσει οδηγίες στους εργαζομένους να σταματήσουν να αποθηκεύουν προσωπικά δεδομένα στον παλαιό διακομιστή, ο οποίος όμως παρέμεινε ενεργός.

Στην πράξη, οι εργαζόμενοι συνέχισαν να αποθηκεύουν αρχεία στο προηγούμενο σύστημα, χωρίς να υπάρχει αποτελεσματικός έλεγχος της συμμόρφωσής τους με τις οδηγίες. Η παράλειψη αυτή είχε ως αποτέλεσμα να παραμένουν προσβάσιμα δεδομένα δεκάδων χιλιάδων προσώπων, τα οποία, σύμφωνα με τις προθεσμίες διαγραφής της εταιρείας, δεν έπρεπε πλέον να διατηρούνται.

Οι οδηγίες προς τους εργαζομένους δεν αρκούν

Απορρίπτοντας τον ισχυρισμό ότι οι εργαζόμενοι δεν είχαν ακολουθήσει τις σχετικές οδηγίες, η Datatilsynet επισήμανε ότι ο υπεύθυνος επεξεργασίας οφείλει να ελέγχει κατά πόσον τα οργανωτικά και τεχνικά μέτρα που έχει θεσπίσει εφαρμόζονται αποτελεσματικά.

Μάλιστα, η εποπτική αρχή διαπίστωσε ότι οι ίδιες οι γραπτές οδηγίες της εταιρείας δεν ήταν απολύτως σαφείς, καθώς επέτρεπαν την αποθήκευση σε κοινόχρηστους αποθηκευτικούς χώρους, διατύπωση που μπορούσε να εκληφθεί ως άδεια συνέχισης της χρήσης του παλαιού διακομιστή.

Κατά τη δανική αρχή, η οριστική κατάργηση του συγκεκριμένου αποθηκευτικού χώρου θα αποτελούσε αποτελεσματικό μέτρο πρόληψης, περιορίζοντας τόσο τα ανθρώπινα σφάλματα όσο και τις συνέπειες της ανεπαρκούς καθοδήγησης του προσωπικού.

Ιδιαίτερη έμφαση δόθηκε στην υποχρέωση περιοδικής δοκιμής, αξιολόγησης και εκτίμησης της αποτελεσματικότητας των μέτρων ασφαλείας, σύμφωνα με το άρθρο 32 παρ. 1 στοιχ. δ ́ ΓΚΠΔ, την οποία η εταιρεία δεν είχε εκπληρώσει.

Η Datatilsynet κατέληξε σε παραβίαση της αρχής του περιορισμού της περιόδου αποθήκευσης, κατά το άρθρο 5 παρ. 1 στοιχ. ε ́ ΓΚΠΔ, καθώς και των υποχρεώσεων ασφάλειας του άρθρου 32 παρ. 1, επισημαίνοντας ότι η εφαρμογή των κανόνων διαγραφής προϋποθέτει όχι μόνο τη θέσπισή τους, αλλά και τη συνεχή επαλήθευση της αποτελεσματικότητάς τους.