Πρόστιμο-μαμούθ σε ΟΤΕ-Cosmote

Πρόστιμα συνολικού ύψους 9.250.000 ευρώ επέβαλε η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ) στην Cosmote και στον ΟΤΕ για το σοβαρό περιστατικό υποκλοπής προσωπικών δεδομένων άνω των 10 εκατομμυρίων χρηστών τον Σεπτέμβριο του 2020. Σύμφωνα με τα όσα αναφέρονται στο πόρισμα της ΑΠΔΠΧ, η Cosmote είχε ενημερώσει αυτοβούλως για τη διαρροή μεγάλου αριθμού δεδομένων στις 10/9/2020 και ακολούθησε διερεύνηση της υπόθεσης στην οποία εκλήθη και ο ΟΤΕ. Αναλυτικότερα:

1. Μέσω αυτοματοποιημένου συστήματος οι διαχειριστές ειδοποιήθηκαν ότι αρχείο μεγέθους 30 γιγαμπάιτ (GB) βρέθηκε αποθηκευμένο σε εξυπηρετητή (server) και από εκεί διακινήθηκε σε διεύθυνση του διαδικτύου που ανήκει σε πάροχο από τη Λιθουανία. Από την ίδια διεύθυνση είχε πραγματοποιηθεί νωρίτερα πειρατεία (hacking) σε ιστοσελίδα που φιλοξενούνταν σε υποδομή του ΟΤΕ. O πειρατής κατάφερε να αποκτήσει διαχειριστική πρόσβαση, χρησιμοποιώντας τον κωδικό πρόσβασης ενός διαχειριστή του ΟΤΕ, ο οποίος είχε επέλθει στην κατοχή του χάκερ στο παρελθόν, μετά από περιστατικό διαρροής κωδικών πρόσβασης της εφαρμογής κοινωνικής δικτύωσης LinkedIn.

2. Το αρχείο των 30GB περιείχε δεδομένα κλήσεων συνδρομητών για το διάστημα μεταξύ 1ης και 5ης Σεπτεμβριου 2020 και συγκεκριμένα τηλεφωνικούς αριθμούς, συντεταγμένες σταθμών βάσης, διεθνή ταυτότητα εξοπλισμού κινητής τηλεφωνίας (IMEI), διεθνή ταυτότητα συνδρομητή κινητής τηλεφωνίας (IMSI), χρονική σήμανση (timestamp), διάρκεια κλήσης, ένδειξη παρόχου, τιμολογιακό πρόγραμμα συνδρομητή, ηλικία, φύλο, μέσο έσοδο ανά χρήστη (ARPU). Τα δεδομένα κίνησης αφορούσαν 4.792.869 μοναδικούς συνδρομητές COSMOTE και τα προσωπικά (ηλικία, φύλο, οικονομικό πρόγραμμα, ARPU) 4.239.213 μοναδικούς συνδρομητές. Επίσης, κάποια στοιχεία (MSISDN2 / CLI3) για ακόμη 6.939.656 χρήστες άλλων παρόχων που κάλεσαν ή κλήθηκαν από συνδρομητές COSMOTE και μερικά δεδομένα για 281.403 συνδρομητές περιαγωγής που πραγματοποίησαν κλήσεις μέσω του δικτύου κινητής τηλεφωνίας της COSMOTE.

Στις ακροάσεις που πραγματοποίησε η ΑΠΔΠΧ, ΟΤΕ και Cosmote υποστήριξαν ότι τα αρχεία αυτά τηρούνταν με κύριο σκοπό την εξυπηρέτηση αιτημάτων των συνδρομητών που αντιμετωπίζουν προβλήματα και βλάβες. Επίσης, με στόχο την ανάλυση των χαρακτηριστικών διαχείρισης των βλαβών, που αποσκοπεί στη βελτίωση των παρεχόμενων υπηρεσιών. Ανέφεραν ακόμη ότι έως τα τέλη Ιανουαρίου 2021 το αρχείο βλαβών εμπλουτιζόταν με κάποια προσωπικά δεδομένα αλλά αυτή η διαδικασία καταργήθηκε.

Στο πόρισμά της η ΑΠΔΠΧ αναφέρει ότι για τον σκοπό της διαχείρισης βλαβών θα ήταν επιτρεπτή μόνον η τήρηση περιορισμένου υποσυνόλου δεδομένων κίνησης, ενώ «δεν υφίσταται νομική βάση στην οποία θα μπορούσε να στηριχθεί η τήρηση του συνόλου των δεδομένων κίνησης επί τρίμηνο, όπως στην εξεταζόμενη υπόθεση».

Διαπιστώνει έξι συγκεκριμένες ευπάθειες, παράβαση των αρχών της νομιμότητας και της διαφάνειας που σχετίζονται με τη διαχείριση των προσωπικών δεδομένων και ελλιπή μέτρα ασφαλείας, επιβάλλοντας στην COSMOTE πρόστιμο συνολικού ύψους 6.000.000 ευρώ, καθώς και κύρωση διακοπής της επεξεργασίας και καταστροφής δεδομένων, ενώ στον ΟΤΕ επέβαλε πρόστιμο ύψους 3.250.000 ευρώ.

Σε συνέχεια της ανακοίνωσης της ΑΠΔΠΧ, η Cosmote σημειώνει ότι «εφάρμοζε και εφαρμόζει όλα τα διαθέσιμα μέτρα για τη θωράκιση των υποδομών της, η ίδια ανίχνευσε την κυβερνοεπίθεση, έλαβε όλα τα αναγκαία μέτρα και ενημέρωσε από την πρώτη στιγμή τις αρμόδιες αρχές και συνεργάστηκε πλήρως με την ΑΠΔΠΧ».

Προσθέτει ότι από την πλευρά των πελατών, δεν χρειάστηκε και δεν χρειάζεται να γίνει καμία ενέργεια και ότι σε κάθε περίπτωση, «η εταιρεία επιφυλάσσεται κάθε νόμιμου δικαιώματός της», ενώ σημειώνει ότι το φαινόμενο των κυβερνοεπιθέσεων αποτελεί καθημερινότητα παγκοσμίως και ότι ο Ομιλος ΟΤΕ αποκρούει κάθε μήνα πάνω από 500.000 κακόβουλες επιθέσεις τρίτων σε συστήματα.