Britisk vandselskab får bøde efter eksponering af kundedata

Britiske myndigheder har givet Southern Water en bøde på 1,3 millioner pund efter et cyberangreb, som eksponerede følsomme personoplysninger tilhørende omkring 664.000 kunder og ansatte.

Information Commissioner’s Office oplyser, at virksomheden ikke havde implementeret tilstrækkelige cybersikkerhedsforanstaltninger, før angribere fik adgang til systemerne og stjal store mængder persondata. Myndigheden advarer om, at virksomheder med ansvar for kritisk infrastruktur skal styrke beskyttelsen af følsomme kundeoplysninger.

Sagen er blevet en af de mest markante bøder i den britiske forsyningssektor relateret til ransomware og eksponering af persondata.

Hackere stjal kunde- og medarbejderdata

Ifølge efterforskere fandt angrebet sted i 2021, efter at trusselsaktører fik adgang til Southern Waters systemer og eksfiltrerede fortrolige oplysninger.

De stjålne data blev senere offentliggjort online, efter at angriberne forsøgte at afpresse virksomheden.

Myndighederne siger, at det eksponerede materiale indeholdt meget følsomme oplysninger om både kunder og ansatte. Afhængigt af den berørte person omfattede de lækkede oplysninger angiveligt:

• Fulde navne
• Fødselsdatoer
• Hjemmeadresser
• Bankkontooplysninger
• Nationale forsikringsnumre
• Medarbejderrelaterede oplysninger

Forskere advarer om, at databrud med økonomiske og identitetsrelaterede oplysninger kan skabe langsigtede svindelrisici længe efter, at selve angrebet er afsluttet.

ICO oplyser, at Southern Water ikke fuldt ud havde implementeret tilstrækkelige overvågningssystemer, adgangskontroller og beskyttelse af sårbarhedshåndtering, før bruddet fandt sted.

Myndigheder kritiserer sikkerhedssvagheder

Information Commissioner’s Office siger, at organisationer, som håndterer store mængder persondata, har et ansvar for at opretholde stærk cybersikkerhed.

Efterforskere konkluderede, at Southern Waters sikkerhedssvagheder forværrede konsekvenserne af angrebet og efterlod følsomme oplysninger unødvendigt eksponerede.

Forskere forklarer, at forsyningsselskaber fortsat er attraktive mål for ransomwaregrupper, fordi de driver kritisk infrastruktur og opbevarer værdifulde kundedata. Angribere ser ofte disse organisationer som særligt sårbare under afpresningsforsøg, fordi driftsforstyrrelser kan skabe betydeligt operationelt pres.

Sikkerhedsanalytikere påpeger også, at mange infrastrukturoperatører fortsat er afhængige af komplekse ældre systemer, som kan være vanskelige at beskytte effektivt.

Sagen afspejler samtidig et bredere regulatorisk pres i Storbritannien og Europa, hvor myndigheder i stigende grad forventer, at virksomheder styrker deres cyberrobusthed, før hændelser opstår.

Ransomwaregrupper fortsætter med at angribe kritisk infrastruktur

Forskere advarer om, at ransomwareangreb mod kritiske infrastrukturoperatører fortsætter med at stige globalt.

Moderne ransomwareoperationer benytter ofte dobbelt afpresning, hvor angribere først stjæler følsomme data, før de krypterer systemerne. Det giver cyberkriminelle mulighed for at true med offentliggørelse af oplysningerne, selv hvis ofrene gendanner systemerne via backups.

Vandselskaber, sundhedsorganisationer, teleselskaber og energivirksomheder forbliver hyppige mål, fordi forstyrrelser kan påvirke store dele af samfundet og skabe betydeligt økonomisk pres.

Sikkerhedseksperter siger, at organisationer med ansvar for samfundskritiske tjenester bør prioritere:

• Multifaktorgodkendelse
• Netværkssegmentering
• Kontinuerlig trusselsmonitorering
• Stærkere adgangskontroller
• Effektiv patchhåndtering
• Beredskabs- og hændelsesplaner

Forskere advarer også om, at eksponering af kundedata kan skade offentlighedens tillid længe efter, at systemerne er genoprettet.

Konklusion

Bøden på 1,3 millioner pund mod Southern Water viser de voksende konsekvenser, virksomheder møder efter store hændelser med eksponerede kundedata.

Myndighederne siger, at virksomheden ikke implementerede tilstrækkelige sikkerhedsforanstaltninger, før hackere stjal følsomme oplysninger om 664.000 personer. Forskere forventer, at myndigheder fortsætter med at øge presset på leverandører af kritisk infrastruktur i takt med, at ransomwareangreb og store datalæk bliver stadig mere almindelige.