Một dữ liệu bị lỗi khiến các ngân hàng và hội đồng bị lộ bởi tìm kiếm nhanh trên Google

Thông tin chi tiết về hơn 50.000 lá thư được gửi bởi các ngân hàng và chính quyền địa phương đã được để lại trên mạng cho mọi người xem

Các chi tiết riêng tư liên quan đến hơn 50.000 bức thư do các ngân hàng và chính quyền địa phương gửi đi đã được Google lập chỉ mục sau khi một công ty gia công phần mềm có trụ sở tại London khiến hệ thống của họ bị lộ một cách vô vọng. Thông tin chi tiết về mọi thứ từ mất khả năng thanh toán đến lời nhắc cuối cùng về thuế hội đồng chưa thanh toán và các ngày nghỉ thế chấp đã được để lại cho mọi người xem kể từ tháng Sáu.

Hàng nghìn tên và địa chỉ - và các loại thư mà họ đã được gửi - đã bị lộ, ảnh hưởng đến mọi người ở Anh, Mỹ và Canada. Virtual Mail Room, công ty chịu trách nhiệm về vụ vi phạm dữ liệu, đã làm việc cho các khách hàng bao gồm Metro Bank, 14 hội đồng địa phương, nhà xuất bản Pearson và chuyên gia phá sản Begbies Traynor. Nội dung cụ thể của các bức thư gửi cho các cá nhân không được nhìn thấy.

Vụ vi phạm quyền riêng tư làm dấy lên nghi ngờ về sự thẩm định của các công ty và chính quyền địa phương sử dụng dịch vụ gửi thư thuê ngoài để xử lý dữ liệu khách hàng nhạy cảm. Nó cũng đến vào một thời điểm đặc biệt đau đớn, với nhiều tên và địa chỉ trong vụ vi phạm thuộc về những người bị ảnh hưởng nặng nề về tài chính bởi đại dịch. Những bước đi sai lầm như vậy có thể làm ảnh hưởng đến GDPR, với các bộ kiểm soát và xử lý dữ liệu có khả năng phải đối mặt với khoản tiền phạt tổng cộng hàng chục triệu bảng Anh. Người phát ngôn của Văn phòng Ủy viên Thông tin, cơ quan quản lý dữ liệu của Vương quốc Anh, xác nhận rằng họ đã biết về vụ việc và đang thực hiện các yêu cầu.

Các chi tiết do vi phạm tiết lộ là rất cá nhân. Trong số các dữ liệu cá nhân bị lộ có tên và địa chỉ của 6.500 khách hàng của Aldermore Bank. Hệ thống back-end được tiết lộ cho thấy những khách hàng nào đã nhận được thư yêu cầu khắc phục và vi phạm trước. Người phát ngôn của ngân hàng cho biết họ đang điều tra vấn đề. Ở những nơi khác, hơn 250 khách hàng của Metro Bank đã được xác định tên và địa chỉ công ty của họ. Người phát ngôn của Ngân hàng Metro cho biết công ty đã “tạm ngừng chia sẻ dữ liệu” với Phòng thư ảo như một biện pháp phòng ngừa trong khi cuộc điều tra vẫn tiếp tục.

Trên trang web của mình, Virtual Mail Room tuyên bố rằng họ cung cấp cho khách hàng “giao diện web đơn giản nhưng an toàn” cho phép các công ty tải lên tài liệu, danh sách liên hệ và thông tin khác, đồng thời theo dõi tiến trình gửi thư và tạo báo cáo. Nhưng những gì được thiết kế như một cách nhanh chóng để các công ty liên hệ với khách hàng của họ đã trở thành một vấn đề lớn về quyền riêng tư dữ liệu.

Một cơ sở dữ liệu về các bức thư do chính quyền địa phương gửi đến tiết lộ tên và địa chỉ của 2.300 người sống ở Croydon. Các hội đồng ở Eastbourne, Reigate, North Tyneside, Ashford, North East Derbyshire và West Lindsey cũng bị dính vào vụ vi phạm. Một cơ sở dữ liệu cho thấy chi tiết của hàng trăm người nhận được thư từ các hiệp hội nhà ở. Và không chỉ những người sống ở Anh bị phơi nhiễm. Phòng Thư Ảo gửi báo cáo tiền bản quyền cho công ty xuất bản Pearson đến Hoa Kỳ và Canada. Các khách hàng của Aldermore có địa chỉ ở Bỉ, Ba Lan, Đức, Ý, UAE, Thụy Điển và Ireland cũng bị bao gồm trong vụ vi phạm.

Mickel Bak, giám đốc Virtual Mail Room, cho biết công ty là mục tiêu của một cuộc tấn công dẫn đến việc dữ liệu được đưa lên mạng. Ông nói: “Chúng tôi rất lo ngại rằng chúng tôi là mục tiêu của một cuộc tấn công nhằm truy cập thông tin mà chúng tôi nắm giữ. “Chúng tôi đã và đang thực hiện các bước cần thiết để hỗ trợ khách hàng và các cơ quan chức năng thích hợp của chúng tôi trong trường hợp này.” Tất cả dữ liệu không được bảo vệ kể từ đó đã được bảo mật, nhưng không phải trước khi nó được để trực tuyến cho bất kỳ ai xem kể từ tháng 6.

Tên, địa chỉ email và số điện thoại của nhân viên có quyền truy cập vào hệ thống của Virtual Mail Room cũng được hiển thị. Các công cụ trên phụ trợ cũng không được bảo mật, cho phép các công việc in và giao hàng có thể bị sửa đổi hoặc xóa.

Robin Wood, một nhà tư vấn bảo mật độc lập, nói rằng vụ vi phạm có vẻ giống như một điều sẽ xảy ra nếu hệ thống được kiểm tra đúng cách. “Đó cũng là thứ có thể được chọn bởi các nhóm tiếp thị hoặc SEO, những người theo dõi Google để xem những gì được lập chỉ mục. Nếu họ đã nhìn thấy nó, nhưng không nhận ra điều gì đang xảy ra, thì việc đào tạo nhận thức sẽ có ích, ”Wood nói.