Η FTC διατάζει τη Blackbaud να διαγράψει δεδομένα, αυξάνοντας τις πρακτικές ασφαλείας μετά από παραβίαση του 2020

Η

Blackbaud

συμφώνησε να διαγράψει τα υπερβολικά ευαίσθητα δεδομένα που διατηρούσε στους πελάτες της και να ανανεώσει πλήρως

τι

ς πολιτικές διατήρησης και ασφάλειας δεδομένων της ως μέρος της

επίλυση

επισημοποιήθηκε με την Ομοσπονδιακή Επιτροπή Εμπορίου (FTC), μετά από μια καταστροφική παραβίαση δεδομένων που συνέβη το 2020.

Το Blackbaud παραβιάστηκε τον Φεβρουάριο του 2020 από ανώνυμους παράγοντες

απε

ιλών. Οι χάκερ παρέμειναν στην υποδομή της εταιρείας για τρεις μήνες, εντοπίζοντας και διεισδύοντας αθόρυβα ευαίσθητα δεδομένα. Μέχρι να τελειώσουν, διέλυσαν αρχεία σε περίπου 13.000 πελάτες του Blackbaud.

Από εκείνη τη στιγμή το περιστατικό πάει από το κακό στο χειρότερο. Πρώτον, ο Blackbaud προσπάθησε να πληρώσει τους εισβολείς για να λύσει το

πρόβλημα

, δίνοντάς τους 235.000 $ για να διαγράψουν τα κλεμμένα αρχεία και να μην μιλήσουν ποτέ ξανά για αυτά. Κανείς δεν γνωρίζει με βεβαιότητα εάν οι χάκερ διέγραψαν πραγ

ματ

ικά τα αρχεία ή όχι.

Διακανονισμός με τις ρυθμιστικές αρχές

Στη συνέχεια, ειδοποίησαν τους πελάτες τους για την παραβίαση και έδωσαν μια ψευδή, παραπλανητική δήλωση που μόνο επιδείνωσε το πρόβλημα. Προφανώς, η Blackbaud χρειάστηκε τέσσερις μήνες για να δημοσιεύσει μια δήλωση και όταν το έκανε, είπε στους πελάτες ότι τα στοιχεία της πιστωτικής τους κάρτας, τα στοιχεία του τραπεζικού λογαριασμού ή οι αριθμοί κοινωνικής ασφάλισης ήταν ασφαλή, κάτι που δεν ήταν. Η FTC ισχυρίζεται ότι η Blackbaud γνώριζε ότι αυτό ήταν ψευδές ήδη από τον Ιούλιο του 2020, αλλά χρειάστηκε μέχρι τον Οκτώβριο για να διορθώσει τη δήλωση.

Στη συνέχεια συμβιβάστηκε αρχικά με την SEC, πληρώνοντας 3 εκατομμύρια δολάρια σε πρόστιμα. Στη συνέχεια τακτοποιήθηκε με μεμονωμένες πολιτείες των ΗΠΑ, πληρώνοντας επιπλέον 49,5 εκατομμύρια δολάρια. Τώρα, συμβιβάστηκε με την FTC, συμφωνώντας να διαγράψει ή να καταστρέψει τα αντίγραφα ασφαλείας που περιέχουν ευαίσθητες πληροφορίες πελατών, ειδικά δεδομένα που δεν χρειάζονται για να λειτουργήσει σωστά.

Πρέπει επίσης να ενημερώσει την πολιτική διατήρησης δεδομένων και να δηλώσει δημόσια ποια δεδομένα περιέχει και γιατί. Τέλος, θα πρέπει να ανανεώσει πλήρως τις πρακτικές ασφαλείας της, οι οποίες περιλαμβάνουν την εισαγωγή ελέγχου ταυτότητας πολλαπλών παραγόντων, εργαλείων απώλειας δεδομένων, διενέργειας δοκιμών και κρυπτογράφησης δεδομένων χρήστη.