Még tavaly nyáron derült ki, hogy a Dixons Carphone elektronikai áruházláncnál súlyos biztonsági incidens történt, mely a cég leányvállalatainak, az Európában 2400 üzletet fenntartó Carphone Warehouse-nak, valamint a Currys PC Worldnek az ügyfeleit érintette.
Nemrég még úgy sejtették, hogy körülbelül 1,2 millió ügyfél adatait szerezték meg, ám a több mint egy éve tartó vizsgálat most arra jutott, hogy valójában 10 millió adatrekordról van szó, és ezt a vállalat tegnap hivatalosan is elismerte. A megszerzett adatok között nevek, lakcímek, telefonszámok, születési dátumok, valamint e-mail címek is voltak.
Azt is közölték, hogy a támadók 5,9 millió bankkártya-adatrekordot is megpróbáltak kompromittálni, de a kártyák nagy részénél ez sikertelen volt, ugyanakkor mintegy 105 ezer, az EU-n kívül kibocsátott kártyánál nem volt chip és PIN-védelem, ezek áldozatul estek. Elmondták, hogy a kártyás adatvesztés most már bizonyított, de ezek között az információk között nincsenek visszaélésre alkalmas érzékeny adatok, és nem is tudnak róla, hogy a megszerzett információkat csalásra használták volna fel.
Az 1,2 millió és a 10 millió közötti eltérést valószínűleg az okozza, hogy a vizsgálat idején élesedett az uniós általános adatvédelmi irányelv (GDPR), mely előírja, hogy az incidenst elszenvedett szervezetnek 72 órán belül közölnie kell az érintettek számát, ám jelen esetben feltehetően ez nem volt elegendő egy teljes körű és mély kivizsgálásra, a végeredményre várni kellett (kérdés: vajon mit csináltak egy éven át?).
A vállalat az eset felfedezése után különféle új biztonsági intézkedéseket vezetett be, lezárták a rést, új biztonsági eszközöket építettek be, és a hatóságokkal karöltve indították meg a vizsgálatot.
Az ügyfeleknek kiküldött bocsánatkérő értesítésben felsorolják az ilyenkor ajánlott óvintézkedéseket: változtassanak jelszót, figyeljék bankszámlájuk mozgásait, és különösen óvakodjanak a csaló e-mailektől.
Az mindenesetre igen furcsa, hogy bár az incidens egy éve történt, az ügyfeleket csak most értesítették, valószínűleg a GDPR hatására.
