Κυβερνοεπίθεση αποκάλυψε προσωπικά δεδομένα 30.000 πελατών που έπρεπε να είχαν διαγραφεί
Διαρροή στοιχείων περισσότερων από 48.000 πελατών και εργαζομένων σε εταιρεία εμπορίας αυτοκινήτων στη Δανία – Στο επίκεντρο της υπόθεσης η ανεπαρκής διαχείριση παλαιών αρχείων και η μη εφαρμογή των κανόνων του GDPR.
Σοβαρές παραλείψεις στη διαχείριση και διαγραφή προσωπικών δεδομένων αποκάλυψε κυβερνοεπίθεση σε εταιρεία εμπορίας αυτοκινήτων στη Δανία, η οποία είχε ως αποτέλεσμα τη διαρροή πληροφοριών περισσότερων από 48.000 πελατών και εργαζομένων. Ιδιαίτερη διάσταση στην υπόθεση δίνει το γεγονός ότι τα δεδομένα περίπου 25.000 έως 30.000 ατόμων δεν θα έπρεπε να βρίσκονται καν στα πληροφοριακά συστήματα της εταιρείας, καθώς είχε παρέλθει ο προβλεπόμενος χρόνος διατήρησής τους.
Η υπόθεση εξετάστηκε από τη δανική αρχή προστασίας δεδομένων Datatilsynet, η οποία στις 9 Νοεμβρίου 2026 άσκησε σοβαρή κριτική στην εταιρεία Jan Nygaard. Η εποπτική αρχή διαπίστωσε ότι προσωπικά δεδομένα παρέμεναν αποθηκευμένα σε παλαιό διακομιστή, χωρίς να υπάρχει επαρκής έλεγχος για την εφαρμογή των διαδικασιών διαγραφής που είχε θεσπίσει η επιχείρηση.
Η παραβίαση εντοπίστηκε τον Ιανουάριο του 2025, όταν η εταιρεία διαπίστωσε ότι τα πληροφοριακά της συστήματα είχαν δεχθεί επίθεση. Σύμφωνα με την έρευνα, οι δράστες είχαν αποκτήσει πρόσβαση ήδη από τις 30 Δεκεμβρίου 2024, αξιοποιώντας λογαριασμό χρήστη που δεν διέθετε πολυπαραγοντική αυθεντικοποίηση (MFA). Στη συνέχεια, κατάφεραν να αποκτήσουν αυξημένα δικαιώματα πρόσβασης στα συστήματα, προχωρώντας σε κρυπτογράφηση αρχείων μέσω κακόβουλου λογισμικού ransomware και υποκλοπή δεδομένων, με απειλές δημοσιοποίησής τους στο σκοτεινό διαδίκτυο.
Αρχικά, η εταιρεία εκτίμησε ότι είχαν επηρεαστεί 22.600 άτομα, ωστόσο η περαιτέρω διερεύνηση ανέβασε τον αριθμό σε περισσότερα από 48.000 πρόσωπα, μεταξύ των οποίων και 194 εργαζόμενοι. Τα στοιχεία που διέρρευσαν περιλάμβαναν ονόματα, στοιχεία επικοινωνίας, αριθμούς προσωπικής ταυτοποίησης, καθώς και, σε ορισμένες περιπτώσεις, αντίγραφα αδειών οδήγησης, φορολογικά έγγραφα και εκκαθαριστικά μισθοδοσίας.
Κεντρικό ζήτημα στην υπόθεση αποτέλεσε η διατήρηση προσωπικών δεδομένων σε έναν παλαιό διακομιστή, ο οποίος εξακολουθούσε να λειτουργεί παρά τις αλλαγές στην υποδομή της εταιρείας. Από το 2018, η επιχείρηση είχε αποφασίσει τη μεταφορά της διαχείρισης των σχετικών αρχείων στο SharePoint, όπου υπήρχε μηχανισμός αυτόματης διαγραφής βάσει συγκεκριμένων χρονικών προθεσμιών. Παράλληλα, είχε δοθεί εντολή στους εργαζομένους να σταματήσουν να αποθηκεύουν προσωπικά δεδομένα στον παλαιό διακομιστή. Ωστόσο, στην πράξη, η αποθήκευση αρχείων στο προηγούμενο σύστημα συνεχίστηκε, χωρίς αποτελεσματικό μηχανισμό ελέγχου της τήρησης των οδηγιών.
Η Datatilsynet δεν αποδέχθηκε ως επαρκή δικαιολογία το γεγονός ότι οι εργαζόμενοι δεν ακολούθησαν τις σχετικές οδηγίες. Όπως επισήμανε, ο υπεύθυνος επεξεργασίας έχει την υποχρέωση να διασφαλίζει ότι τα τεχνικά και οργανωτικά μέτρα που εφαρμόζει λειτουργούν αποτελεσματικά. Επιπλέον, διαπίστωσε ότι οι γραπτές οδηγίες της εταιρείας δεν ήταν απολύτως σαφείς, καθώς περιλάμβαναν αναφορές σε κοινόχρηστους αποθηκευτικούς χώρους, οι οποίες μπορούσαν να εκληφθούν ως άδεια συνέχισης της χρήσης του παλαιού διακομιστή.
Η εποπτική αρχή υπογράμμισε ότι η οριστική κατάργηση του συγκεκριμένου αποθηκευτικού χώρου θα μπορούσε να είχε αποτρέψει τη συνέχιση της αποθήκευσης δεδομένων και να είχε περιορίσει τον κίνδυνο ανθρώπινων σφαλμάτων. Παράλληλα, διαπίστωσε ότι η εταιρεία δεν είχε εκπληρώσει την υποχρέωση περιοδικής δοκιμής, αξιολόγησης και εκτίμησης της αποτελεσματικότητας των μέτρων ασφαλείας, όπως προβλέπεται στο άρθρο 32 παρ. 1 στοιχ. δ΄ του Γενικού Κανονισμού για την Προστασία Δεδομένων (ΓΚΠΔ). Η υπόθεση οδήγησε στη διαπίστωση παραβίασης της αρχής του περιορισμού της περιόδου αποθήκευσης, σύμφωνα με το άρθρο 5 παρ. 1 στοιχ. ε΄ του ΓΚΠΔ, καθώς και των υποχρεώσεων ασφάλειας του άρθρου 32 παρ. 1.
