Compania Digi sancţionată cu aproape 300.000 de euro în Ungaria

Digi a primit o amendă record în Ungaria după ce un hacker a scos la iveală o vulnerabilitate a site-ului şi a reuşit să capete acces la datele personale ale abonaţilor.

Autoritatea Naţională pentru Protecţia Datelor şi a Libertatea Informaţiei din Ungaria (NAIH) a sancţionat compania Digi, cea care deţine şi Digi România, cu 100 de milioane de forinţi, aproximativ 290.000 de euro pentru încălcarea GDPR. Este cea mai mare sancţiune de la introducerea GDPR în 2018, precedentul record fiind de 87.000 de euro.

NAIH s-a sesizat după ce un hacker etic a raportat în septembrie 2019 o vulnerabilitate la site-ul companiei care era cunoscută în interior de câţiva ani, însă rămăsese nerezolvată. Hacker-ul a căpătat acces la o bază de date test, unde a descoperit date de identificare ale administratorilor de sistem, şi o bază de date care conţinea date personale ale abonaţilor la buletinul informativ Digi.

NAIH susţine că Digi nu a luat măsurile necesare pentru protejarea clienţilor, iar datele lor ar fi putut fi folosite pentru furtul de identitate. Problema ar fi fost cunoscută în interior de 9 ani, însă Digi nu a luat toate măsurile necesare pentru a cripta datele.

Digi a anunţat deja că va contesta decizia la tribunal, considerând că amenda este una exagerată.

DIGI a transmis că a constatat o vulnerabilitate şi a luat măsuri pentru a nu expune informaţiile personale ale clienţilor.

Compania a precizat: "DIGI a constatat o vulnerabilitate a uneia dintre bazele sale de date de test, care ar fi putut conduce la o eventuală scurgere de date personale. DIGI a luat măsuri pentru a evita expunerea neintenţionată a informaţiilor personale şi a raportat imediat situaţia autorităţii maghiare. Nu au existat scurgeri de date în urma acestui incident. Echipele noastre au acţionat cu precauţie pentru a securiza baza de date în cauză, au remediat rapid vulnerabilitatea şi au modificat regulamentul nostru de securitate internă pentru a preveni viitoarele riscuri similare. Este important să subliniem faptul că Autoritatea nu a stabilit că date reale despre clienţi ar fi fost accesate de părţi neautorizate, o eventuală exploatare a vulnerabilităţii ar fi impus cunoştinţe avansate de informatică/ programare din partea unui terţ, iar compania a acţionat proactiv pentru a remedia situaţia identificată, în cel mai scurt termen. Prin urmare, DIGI, care a colaborat pe deplin cu NAIH, va contesta amenda în instanţă".