在Dixons Carphone Hack中访问了5.9百万张卡详细信息

  • 时间:
  • 浏览:43
  • 来源:it300
在Dixons Carphone Hack中访问了5.9百万张卡详细信息

英国家喻户晓的Dixons Carphone今天宣布(PDF)正在调查“未经授权访问该公司持有的某些数据”。它将此访问描述为“试图在Currys PC World和Dixons Travel商店的一个处理系统中妥协5.9百万张卡片”,以及“包含非财务个人数据的120万条记录,例如姓名,地址或电子邮件地址。 ..“

这可能会成为英国有史以来最大规模的违规行为。

目前,没有披露违规行为是如何实施的,也不是谁可能是罪魁祸首。然而,据报道,入侵发生在大约一年前的2017年7月。由于没有技术细节,人们关注的是为什么花了这么长时间才发现违规行为;这家公司是怎样的披露和通知;数据保护监管机构是否会考虑根据1998年英国数据保护法案或欧盟通用数据保护条例(GDPR)的违规行为,该条例于5月25日生效。

ICO自己的声明没有给出任何消息。一位发言人说:“现在调查还处于初期阶段。我们将查看事件发生的时间以及何时将其作为我们工作的一部分被发现,这将告知是否根据1998年或2018年的数据保护法案处理了这一事件。”对于后者,请阅读'GDPR',直到英国脱欧生效。

出现歧义的原因是,在GDPR之前的时间内发生了 - 或至少已经开始 - 违规行为。我们不知道的是Dixons Carphone何时发现了这一漏洞。自5月25日以来,它(可能)已经是su因为非常严格的GDPR违反通知规则。

如果根据GDPR规则考虑整个事件,ICO可能会将Dixons Carphone的罚款高达全球年度收入的4%。去年该集团报告的总销售额为105亿英镑(140亿美元)。 GDPR下的罚款可能是数亿英镑。根据1998年“数据保护法”,最高罚款将仅为500,000英镑(670,000美元)。

技术问题集中在为什么Dixons Carphone花了这么长时间才发现违规行为。 ThinkMarble的数据保护律师兼法律服务主管Robert Wassall评论说:“这个漏洞事件只是通过例行的安全审查来确定,这一事实可以从两个方面来看待。是的,这个漏洞被认定为它很好。 p认为审核流程和扫描漏洞有效。另一方面,违规行为始于2017年7月,为什么不早点发现?考虑到已经花了将近一年的时间才完成安全扫描?“

LogRhythm副总裁兼MD EMEA的Ross Brewer不太乐观。”这些数据的规模和时间范围他表示,最初尝试访问数据的行为始于去年7月,但过去一周才发现,这表明该公司缺乏重要的威胁检测能力。“

违规通知关注Dixons Carphone声明的中心问题。一些评论者赞扬其向受害者发出通知的明显速度和充分性.Ilia Kolochenko,网络安全公司High的首席执行官兼创始人-Tech Bridge说,“去年有超过10亿的受损记录,我认为这个特殊事件并不重要。许多类似的事件每天都会发生,而且仍然没有引起注意。除非我们有证据表明恶意利用据称被盗的数据但是,根据这些事实,Dixons Carphone的决定披露 - 是相当值得称赞的,尽管人们可能会质疑披露的时间表。许多其他公司也没那么勇敢地说出真相,甚至也不例外。根据GDPR的执行情况,新法律无法监控对不显眼的数据泄露的适当披露。“

然而,其他人担心该声明试图尽量减少实际伤害,以及警告受害者未来可能造成的伤害。迪克斯Carphone首席执行官亚历克斯·鲍多克(Alex Baldock)表示,“由于这些事件,我们目前没有任何欺诈证据。”该声明还暗示受害者不必担心他们的卡详细信息,因为到目前为止大多数是芯片和PIN卡,并且没有包括CVV。它没有提到针对实际或潜在的Dixons Carphone漏洞受害者的网络钓鱼和其他社会工程诈骗的可能性。

Trusted Knight的威胁情报办公室Trevor Resche是直率的。 “今天违反Dixons的数据将会在一段时间内产生深远的影响。虽然Dixons已经表示没有欺诈行为的证据,但现在数据已经处于犯罪领域,不久之后它就不久就会开始被淘汰。罪犯,与随后发生了网络钓鱼和暴力攻击。“

目前,我们对这一漏洞知之甚少.Dixons Carphone正在与执法部门(NCSC),金融监管机构(FCA)合作,数据保护监管机构(ICO)和“领先的网络安全专家。”受害者需要密切监控他们的银行账户,并对所有传入的Dixons Carphone相关电子邮件表示怀疑;一般企业和特别是网络安全行业将监控反应数据保护监管机构。如果ICO发现Dixons Carphone在保护客户数据方面有疏忽,可能会被罚款。

相关:Carphone仓库数据泄露可能会影响240万客户

[ 123]相关:9200万用户凭证在MyHeritage数据泄露中暴露

猜你喜欢

希腊最高法院批准俄罗斯对比特币嫌疑人的请求

希腊最高法院批准俄罗斯对比特币嫌疑人的请求希腊最高法院上周五表示,一名据称使用比特币数字货币洗钱40亿美元的俄罗斯人应该被引渡到俄罗斯,一位法院消息人士说。AlexanderV

2019-02-01

塑造美国网络防御的创造性破坏和自满情绪

塑造美国网络防御的创造性破坏和自满情绪创造性的破坏,思维的范式转换取代现有的秩序,可能是一个难以捉摸的概念,但它作为人类行为驱动力的力量是不可否认的。在硅谷和其他美国的高层科技

2019-02-01

为什么我(非常)担心PRISM

为什么我(非常)担心PRISM美国国家安全局正在利用我们的数字生活,监控语音电话,电子邮件,社交媒体以及谁知道什么。美国国家安全局方面的人说,这是为了国家安全;它已经停止了恐怖

2019-02-01

先发优势:为什么新的恶意软件最初会打败反恐

先发优势:为什么新的恶意软件最初会打败反恐虽然反病毒解决方案可以有效对抗广泛使用的恶意软件,但是有一个很好的机会,新的恶意软件会躲过那些解决方案。最近有重大安全事件的报告激增,

2019-02-01

台湾银行抢劫与朝鲜黑客有关

台湾银行抢劫与朝鲜黑客有关最近针对台湾一家银行的网络抢劫事件已被安全研究人员联系到一个据信在朝鲜境外活动的臭名昭着的威胁组织。黑客利用SWIFT全球金融网络大致窃取来自台湾远东

2019-02-01