Dealer Dacia, amendat după un atac de phishing: datele clienților au fost accesate fără autorizație

Un dealer autorizat Dacia a fost sancționat după ce un atac informatic bazat pe phishing a permis accesul neautorizat la datele personale ale unor clienți. Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) a aplicat o amendă de 3.000 de euro companiei Poliserv JG (PJG) SRL, în urma unei investigații care a scos la iveală probleme legate de măsurile de securitate folosite pentru protejarea informațiilor.

Incidentul este un exemplu al modului în care un singur cont compromis poate deveni punctul de intrare într-un sistem care gestionează datele unor persoane. În cazul de față, atacatorii au obținut prin phishing datele de acces ale unui cont cu drepturi de administrator, iar acestea au fost folosite ulterior pentru a ajunge la informații despre clienții companiei, scrie Profit.ro.

Cum au ajuns atacatorii la datele clienților

Investigația ANSPDCP a fost finalizată în luna iulie 2026 și a pornit după ce compania însăși a notificat autoritatea cu privire la incident. O astfel de notificare este prevăzută de regulile europene privind protecția datelor atunci când are loc o încălcare a securității informațiilor personale.

Potrivit constatărilor autorității, problema a pornit de la credențialele unui cont de utilizator care avea privilegii de administrator. Aceste date au fost obținute printr-o metodă de phishing, după care atacatorii au putut pătrunde în sistem și accesa informații fără autorizare.

Printre datele care au fost accesate s-au aflat cel puțin numele și prenumele unor persoane fizice care erau clienți ai dealerului. Informațiile publicate despre caz nu indică faptul că ar fi fost accesate și alte categorii de date personale, astfel că amploarea exactă a informațiilor compromise nu poate fi stabilită din comunicarea autorității.

Problema nu a fost însă doar atacul în sine. ANSPDCP a considerat că firma nu implementase măsuri tehnice și organizatorice suficient de bune pentru a preveni sau limita un astfel de incident.

De ce a fost amendată compania de ANSPDCP

Regulile GDPR nu presupun că o companie poate evita orice atac informatic. În schimb, operatorii care prelucrează date personale trebuie să adopte măsuri de securitate adaptate riscurilor și să verifice în mod regulat dacă acestea funcționează în condiții reale.

În cazul Poliserv JG, autoritatea a stabilit că nu au fost realizate periodic testarea, evaluarea și verificarea eficienței măsurilor tehnice și organizatorice. Acestea ar trebui să contribuie la protejarea confidențialității, integrității și disponibilității sistemelor și serviciilor care prelucrează date personale.

Faptul că un cont cu drepturi de administrator a fost compromis prin phishing a făcut situația mai serioasă. Un asemenea cont poate permite accesul la mai multe resurse decât unul obișnuit, iar compromiterea lui poate transforma un mesaj aparent banal într-un incident cu efecte asupra întregii infrastructuri informatice.

ANSPDCP a apreciat că gravitatea situației justifică aplicarea amenzii prevăzute de Regulamentul european privind protecția datelor. Sancțiunea stabilită pentru Poliserv JG este de 3.000 de euro.

Dealerul trebuie să ia și alte măsuri după incident

Amenda nu este singura măsură dispusă de autoritatea pentru protecția datelor. Poliserv JG trebuie să verifice periodic dacă procedurile interne referitoare la protecția datelor și securitatea informațiilor sunt respectate.

Compania trebuie, de asemenea, să asigure instruirea periodică a persoanelor care lucrează sub autoritatea sa în ceea ce privește riscurile asociate prelucrării datelor personale. O atenție specială trebuie acordată identificării și gestionării mesajelor de phishing și a altor e-mailuri suspecte.

Cazul arată de ce instruirea angajaților rămâne o componentă importantă a securității informatice. Un sistem poate avea măsuri tehnice complexe, dar dacă datele de acces ale unui cont important sunt introduse într-o pagină falsă sau transmise unui atacator, protecțiile respective pot fi ocolite.

Pentru clienții afectați, incidentul este relevant tocmai prin faptul că nu a fost nevoie ca atacatorii să spargă direct un sistem printr-o vulnerabilitate tehnică sofisticată. Au fost suficiente credențialele unui cont de administrator obținute prin phishing pentru a ajunge la date personale.

În același timp, sancțiunea ANSPDCP transmite un mesaj important companiilor care gestionează informații despre clienți: responsabilitatea privind securitatea datelor nu se limitează la momentul în care acestea sunt colectate. Măsurile de protecție trebuie verificate și îmbunătățite constant, iar persoanele care au acces la sisteme trebuie să știe cum să recunoască tentativele de fraudă.

Fiat Multiplina, noua electrică de oraș cu patru locuri, este aproape gata de producție. Problema care o ține pe loc