Information Commissioner ‘ s Office böter företaget £400,000 för ‘om’ säkerhetsfrågor följande utredning av hack av 3m kunders data

Data-och datorsäkerhet

Carphone Warehouse böter för att ‘slå’ antalet fel som ledde till dataintrång

Information Commissioner ‘ s Office böter företaget £400,000 för ‘om’ säkerhetsfrågor följande utredning av hack av 3m kunders data

@alexhern

Ons 10 Jan 18 12.37 GMT

Senast ändrad Ons 10 Jan 18 13.23 GMT

Carphone Warehouse har fått böta £400,000 av Information Commissioner ‘ s Office för en serie av “systemfel” avslöjat efter ett dataintrång 2015.

ICO som beskrivs i “antal tydliga och betydande brister i säkerhetsarrangemangen” av Carphone Warehouse som “slående” och sade att det var “särskilt om att ett antal av de brister relaterade till grundläggande, vardagsmat åtgärder”.

Den fina, en av de största som någonsin utfärdats av ICO och samma mängd som den fina tanke på att TalkTalk 2016, kom efter att en hackare lyckats komma åt personliga uppgifter av mer än tre miljoner kunder och 1 000 anställda, inklusive kreditkortsinformation, namn, adresser och telefonnummer.

Under den utredning som följde, ICO upptäckte 11 separata frågor med bolagets säkerhet och skydd av personuppgifter praxis, något som skulle ha brutit mot personuppgiftslagen på egen hand.

“Ett företag som stora, väl utbyggd och etablerad som Carphone Warehouse ska ha varit aktivt i att bedöma sina data security systems, samt säkerställa system var stabil och inte utsatt för sådana attacker,” the Information Commissioner Elizabeth Denham sagt.

“Carphone Warehouse som ska vara på toppen av sitt spel när det gäller it-säkerhet, och det är om att de systemfel som vi hittade relaterade till rudimentär, vanligt förekommande åtgärder.”

Bland de brister ICO som identifierats i Carphone Warehouse är informationssäkerhet var: användning av viktiga delar av en programvara som var “för många år out of date”, har senast uppdaterats sex år före attacken, avsaknaden av “rigorös kontroll” över vem som hade inloggningsuppgifter till systemet; en frånvaro av alla antivirusprogram som körs på servrar som höll i data, samma root-lösenord som används på varje enskild server, som var känd för att “vissa 30-40 medlemmar av anställda”. och lagring av fullständiga kreditkortsuppgifter med “ingen anledning” att göra så.

I ett uttalande, Carphone Warehouse sade: “Vi accepterar dagens beslut av ICO och har samarbetat fullt ut i hela sin undersökning av den illegala cyber-attack på ett specifikt system inom en av Carphone Warehouse för STORBRITANNIEN divisioner 2015.

“Som ICO konstaterar i sin rapport, vi flyttade snabbt på tid för att säkra våra system, för att införa ytterligare säkerhetsåtgärder och att informera ICO och potentiellt drabbade kunder och kollegor. ICO konstaterade att det inte fanns några bevis för att alla enskilda data har används av tredje part.”

Data protection bill ändrade för att skydda säkerheten forskare