Kara liczona w milionach za rekordowy wyciek danych

Equifax 8 sierpnia 2017 r. roku poinformował, że 29 lipca wykrył włamanie do swoich systemów. Wykradzione wówczas dane obejmowały daty urodzenia, numery ubezpieczenia społecznego, adresy i serie prawa jazdy niektórych klientów. Hakerzy wykradli również 209 tys. numerów amerykańskich kart kredytowych, a także informacje identyfikujące ponad 182 tys. klientów, zawarte w innych dokumentach.

"Cyberprzestępcy wykorzystali podatność aplikacji działającej w ramach naszej strony internetowej, by zyskać dostęp do pewnych plików" - tłumaczył przedstawiciel Equifaxu.

Organy nadzorcze wskazały w poniedziałek, że Equifax złamał prawa chroniące klientów przed nieuczciwymi i oszukańczymi praktykami, nie zabezpieczając ogromnej liczby poufnych danych osobowych, które przechowuje, oraz oszukując konsumentów w sprawie możliwości programu ochrony danych, z którego korzystał.

"Nieudolność tej firmy, zaniedbania i zbyt pobłażliwe standardy bezpieczeństwa zagroziły tożsamości połowy amerykańskiej populacji" - podkreśliła w oświadczeniu prokurator generalna stanu Nowy Jork Letitia James. W Stanach Zjednoczonych żyje około 324 mln mieszkańców, a kradzież danych dotyczyła 143 mln Amerykanów.

Największa jak dotąd ugoda dotycząca naruszenia danych rozstrzyga śledztwa prowadzone przez Federalną Komisję Handlu, Urząd Finansowej Ochrony Konsumentów (CFPB) i prokuratorów generalnych prawie wszystkich stanów, a także pozwy zbiorowe przeciwko spółce. Zgodnie z jej założeniami, Equifax zapłaci 175 mln dolarów grzywny na rzecz władz stanowych i 100 mln dolarów na rzecz CFPB. Firma utworzy również fundusz restytucyjny z pulą 300 mln dolarów dla poszkodowanych klientów. W zależności od liczby osób, które z niego skorzystają, fundusz może wzrosnąć do 425 mln dolarów. Pieniądze te będą jednak przysługiwać wyłącznie osobom mogącym wykazać, że poniosły bezpośrednie straty z tytułu wycieku danych.

Poszkodowani klienci będą ponadto uprawnieni do 10-letniego bezpłatnego korzystania z usług Equifaxu w zakresie monitorowania kredytów. Firma zgodziła się również ułatwić poszkodowanym zamrożenie kredytu lub zakwestionowanie nieprecyzyjnych informacji w raportach kredytowych, a ponadto wzmocnić swoje praktyki bezpieczeństwa i regularnie oceniać zasady spółki za pośrednictwem niezależnych podmiotów.

Equifax jest jedną z trzech wiodących firm oferujących w Ameryce Północnej usługi oceny zdolności kredytowej. Skandal wywołany kradzieżą danych w 2017 r. wywołał chaos w firmie i w konsekwencji doprowadził do odejścia ówczesnego dyrektora generalnego firmy Richarda Smitha. Spółce zarzucano wówczas m.in. zbyt późne ujawnienie informacji o wycieku. Nowy szef Equifaxu Mark Begor przyznał, że ugoda jest dla firmy "pozytywnym krokiem", który pozwoli skupić się na inwestowaniu w technologię i bezpieczeństwo. Firma zabezpieczyła 690 mln dolarów na pokrycie przewidywanej grzywny.

Akcje Equifaxu wzrosły po otwarciu giełdy o 1,2 procent do 138,88 dolarów - podała agencja.

Hakerzy odpowiedzialni za wyciek danych nigdy nie zostali zidentyfikowani - zauważył Reuters. Jak przypomniała agencja, senacki Komitet Bankowy pracuje obecnie nad przepisami, które wymagałyby od firm lepszej ochrony danych klientów.

SG/PAP