Cyberatak na sieć Factory. Co z danymi polskich klientów?

10 marca br. centra outletowe Factory w Warszawie (Ursus i Annopol), Krakowie, Poznaniu oraz Gliwicach opublikowały komunikat dotyczący „incydentu bezpieczeństwa wynikającego z cyberataku”.

„Pomimo zastosowanych przez nas środków bezpieczeństwa, nieuprawniona osoba trzecia uzyskała dostęp do niektórych z naszych systemów, a także zidentyfikowano ślady aktywności polegającej na pobraniu ograniczonej podgrupy plików. Incydent ten mógł mieć wpływ zarówno na dane dotyczące firm, jak i osób fizycznych, w tym najemców, dostawców, klientów, użytkowników, którzy mogli ulec wypadkom na terenie naszych centrów handlowych, pracowników, byłych pracowników i/lub kandydatów do pracy” – stwierdzono w zawiadomieniu.

Rodzaje danych

Wyróżniono również rodzaje danych, które uległy naruszeniu ochrony, takie jak m.in.:

• dane podstawowe;
• dane kontaktowe;
• życiorys (CV);
• dane dotyczące zdrowia (w przypadku „zdarzeń wypadkowych");
• wizerunek;
• państwowe dokumenty tożsamości.

Na podstawie aktualnie dostępnych informacji nie uważamy, aby incydent ten mógł prowadzić do wysokiego ryzyka dla praw i wolności osób, które mogły zostać nim dotknięte. Jednakże, jako środek ostrożności, nie można całkowicie wykluczyć niektórych rodzajów ryzyka, takich jak prób phishingu, wiadomości spamowych lub utraty kontroli nad danymi osobowymi.
Factory

Przeciwdziałanie

Factory zapewnia, że podjęto czynności w ramach zminimalizowania i łagodzenia skutków ataku. Wśród nich wymieniono m.in. tymczasowe wyłączenie niektórych systemów oraz wdrożenie dodatkowych zabezpieczeń logowania. Firma współpracuje zarówno z krajowymi organami ochrony danych oraz zewnętrznymi ekspertami.

Osobom potencjalnie dotkniętym przez incydent zalecamy (również prewencyjnie):

• zastrzeżenie numeru PESEL (co warto zrobić również wtedy, gdy nie podejrzewamy naruszenia ochrony naszych danych);
• nieufność wobec prób kontaktu przez nieznane osoby;
• zgłaszanie policji wszelkich prób wyłudzeń danych osobowych;
• stosowanie dwuetapowego uwierzytelniania;
• zmianę hasła wszędzie tam, gdzie było identyczne do wykorzystywanego w ramach logowania do usług Factory (przy czym należy pamiętać, że do takiej sytuacji nie powinno dojść – nasze hasło powinno być unikalne, czyli inne na każdym portalu).

W razie jakichkolwiek wątpliwości warto zgłosić się do inspektora ochrony danych (IOD) Factory.

W przypadku otrzymania niepokojących wiadomości zaleca się zgłoszenie ich do CERT Polska. Potencjalnie złośliwe SMS-y można przekazać na numer 8080.