Poważny wyciek danych w kanadyjskim sektorze finansowym

Jak wynika z komunikatu Organizacji, incydent został po raz pierwszy wykryty 11 sierpnia 2025 r., kiedy systemy CIRO zidentyfikowały nieautoryzowany dostęp do części ich środowiska informatycznego. W odpowiedzi organizacja natychmiast wyłączyła wybrane systemy, aby ograniczyć potencjalne szkody, a następnie rozpoczęła szczegółowe dochodzenie z udziałem zewnętrznych ekspertów ds. cyberbezpieczeństwa i organów ścigania.

W celu ustalenia, jak doszło do ataku oraz jakie dane zostały naruszone, przeprowadzono analizę śledczą, która trwała ponad 9 000 godzin.

W styczniu br. CIRO zaczęło indywidualnie powiadamiać osoby, których dane mogły zostać skompromitowane. Według organizacji naruszenie było wynikiem „wyrafinowanego ataku phishingowego”, który doprowadził do uzyskania dostępu do systemów zawierających dane osobowe.

Zakres skompromitowanych informacji

Dane, które mogły zostać skopiowane przez sprawców, obejmowały szeroki zakres informacji osobowych i finansowych. Wśród nich znalazły się:

• daty urodzenia,
• numery telefonów,
• roczne dochody,
• numery ubezpieczenia społecznego (Social Insurance Numbers),
• numery rządowych dokumentów tożsamości,
• numery kont inwestycyjnych oraz wyciągi z tych kont.

CIRO poinformowało, że jak dotąd nie zauważono, aby dane zostały wykorzystane w sposób nieuprawniony lub pojawiły się na dark webowym rynku. Niemniej jednak prowadzony jest stały monitoring, nie wykluczający takiej możliwości.

Po naruszeniu danych organizacja powinna traktować wyciek jako szkodliwy, tzn. założyć ich wykorzystanie przez strony trzecie jako pewne, szczególnie gdy dane w wycieku są wrażliwe, takie jak identyfikatory osobowe, loginy, dane uwierzytelniające, adresy, numery telefonów czy informacje finansowe.

Podejście organizacji do wycieku

CIRO wdrożyło szereg działań mających na celu ograniczenie skutków incydentu oraz zapewnienie wsparcia osobom, których dane mogły zostać naruszone.

Organizacja uruchomiła dwuletni program ochrony przed kradzieżą tożsamości oraz monitorowania kredytowego we współpracy z wiodącymi kanadyjskimi agencjami kredytowymi, a także rozpoczęła indywidualne informowanie potencjalnie poszkodowanych osób, przekazując im szczegółowe instrukcje dotyczące aktywacji dostępnych usług ochronnych. Równolegle przeprowadzono wewnętrzny przegląd praktyk cyberbezpieczeństwa, obejmujący procedury reagowania na incydenty oraz wzmocnienie mechanizmów wykrywania i przeciwdziałania atakom phishingowym.

Dyrektor generalny CIRO, Andrew Kriegler, zapewnił o poważnym traktowaniu kwestii prywatności i bezpieczeństwa, wskazując jednocześnie na zobowiązanie instytucji do dalszego doskonalenia systemów ochronnych oraz współpracy z branżą w celu podniesienia ogólnego poziomu odporności cybernetycznej.