Atac cibernetic la Depozitarul Central: ce confirmă comunicatul, ce spune presa despre datele personale și ce faci dacă ești investitor

• Atacul a vizat aplicația „Servicii Online pentru Investitori”, prin care se creează conturi de utilizator pentru investitorii persoane fizice române care vor să folosească serviciile online ale instituției. Incidentul a fost identificat în ziua producerii, iar măsurile de investigare și remediere au fost luate imediat. Comunicatul nu dă data atacului.
• Serviciile și funcțiile critice, decontarea și registrul, se desfășoară în condiții normale. Deținerile de instrumente financiare și informațiile despre tranzacțiile decontate nu au fost accesate, modificate sau alterate, potrivit comunicatului.
• Deținătorii de instrumente financiare au acces la serviciile instituției prin canalele obișnuite, poștă sau ghișeul de la sediul secundar, cât timp aplicația nu este disponibilă.
• Autoritățile competente au fost informate, monitorizarea sistemelor a fost intensificată, iar activitatea se desfășoară în condiții normale.
• Comunicatul nu spune ce date personale au fost vizualizate, câți utilizatori sunt afectați, dacă datele au fost copiate sau cum s-a produs accesul. Nu numește autoritățile informate.

• Forbes România relatează, citând informații suplimentare comunicate de instituție și relatate de presa economică, că au fost vizualizate date personale folosite la crearea conturilor: nume, adresă, CNP, serie și număr de act de identitate, e-mail, telefon și IBAN, și că aceste date nu au fost modificate sau alterate. Spotmedia și StartupCafe dau aceeași listă, citând Economica.net.
• Wall-Street.ro dă o listă mai scurtă, fără adresă și IBAN, și o atribuie comunicatului; PDF-ul comunicatului pe care l-am citit nu conține nicio listă. Diferența arată că lista exactă trebuie confirmată de instituție.
• Spotmedia relatează, citând Economica, că aplicația este temporar indisponibilă, că parola de acces în aplicație nu a fost accesată și că a fost contactată o echipă de specialiști și notificat DNSC. Notificarea DNSC apare și în alte surse prin Profit.ro, nu în comunicatul pe care l-am citit.
• Spotmedia descrie aplicația vizată drept aplicația pentru adunările generale ale acționarilor (AGA), ceea ce contrazice comunicatul oficial, care vorbește despre „Servicii Online pentru Investitori”. Reținem denumirea din comunicat.

• Data atacului, numărul persoanelor afectate și dacă datele au fost doar vizualizate sau și copiate.
• Cum s-a produs accesul și cine este în spatele lui; nimeni nu a revendicat atacul în sursele citite.
• Dacă a fost notificată ANSPDCP, autoritatea pentru protecția datelor, și dacă utilizatorii afectați au primit mesaje directe. Sursele citite menționează comunicate publice, nu mesaje individuale.
• Dacă datele au fost folosite în fraude; Spotmedia notează că nu există deocamdată o confirmare în acest sens.

• Tratează orice mesaj care pare venit de la Depozitarul Central, de la bursă sau de la broker ca suspect până îl verifici pe un canal pe care îl cunoști. Un atacator cu numele, CNP-ul și e-mailul tău poate face un mesaj foarte credibil. Nu da parole sau coduri la mesaje, e-mailuri, SMS-uri sau apeluri nesolicitate.
• Nu intra în linkuri primite; scrie tu adresa instituției sau folosește aplicația oficială.
• Dacă folosești aceeași parolă și în alte servicii, schimbă-o acolo. Instituția recomandă parole unice și autentificare în doi pași, iar presa spune că parola de acces din aplicație nu ar fi fost accesată.
• Verifică extrasele de cont pentru debitări necunoscute și anunță banca dacă vezi ceva. Un IBAN expus nu dă singur acces la bani, dar este folosit în tentative de fraudă.
• Nu publica date personale suplimentare pe rețelele sociale și ai grijă la apeluri care „confirmă” date pe care le știi deja.
• Dacă primești o notificare oficială, păstreaz-o. Pentru o eventuală plângere sau cerere de informare, ai dreptul să ceri instituției informații despre datele tale, iar autoritatea competentă este ANSPDCP.

Comunicatul descrie aplicația ca fiind auxiliară sistemelor critice, iar registrul și decontarea nu au fost atinse. Este o proiectare bună: separarea limitează pagubele. Dar aplicația ținea identitatea și contul bancar al investitorilor persoane fizice, deci a devenit o țintă în sine.

Întrebările utile sunt aceleași în orice organizație: ce aplicații secundare, portaluri pentru clienți, formulare și conturi online păstrează date personale? Au aceleași controale ca sistemul principal? Păstrăm IBAN-ul sau actul de identitate dacă nu e nevoie? Cine se uită la jurnale? Cum aflăm în aceeași zi, așa cum spune instituția că a aflat?

Primul comunicat nu a enumerat datele. Informațiile despre ele au venit prin presă, iar listele diferă. Pentru oricine gestionează un incident asemănător, concluzia este să spui din prima ce categorii de date sunt în joc, ce nu se știe și când revii; oamenii de pe lista afectată trebuie să afle direct, nu din ziar.

Dacă gestionezi date personale, GDPR art. 33 cere notificarea ANSPDCP în 72 de ore de la luarea la cunoștință, dacă este posibil, iar art. 34 cere informarea persoanelor când riscul este ridicat. Entitățile financiare au și regulile din DORA privind incidentele majore legate de TIC, iar entitățile esențiale și importante sub NIS2 au termenele de 24 și 72 de ore. Care regim se aplică depinde de situația fiecăruia; verifică cu juristul sau cu responsabilul cu protecția datelor. Nu putem spune dacă și cum au fost aplicate în acest caz.

Comunicatul Depozitarului Central și cel al BVB sunt sursele primare, iar ele spun puțin. Lista datelor vine din presa economică, atribuită unor informații suplimentare ale instituției, și diferă între publicații. Detaliile despre notificarea DNSC și starea aplicației sunt la fel de fragile.

Awarely Learning poate pregăti exerciții pentru conducere și pentru echipele care vorbesc cu clienții: ce spunem în primele 24 de ore, cum recunoaștem fraudele care urmează unui incident și cum anunțăm persoanele afectate. Articolul nu este consultanță juridică și nu garantează conformitatea.