Comcast böter efter dataläcka hos leverantör

Den dataläcka som drabbade en tidigare Comcast-leverantör ledde till att kundinformation exponerades och resulterade i en betydande sanktionsavgift för företaget. FCC meddelade böterna efter att utredare spårat incidenten till svagheter i ett tidigare tredjepartsleverantörssystem. Fallet visar hur föråldrad datalagring och bristande leverantörskontroll kan skapa allvarliga risker även när huvudföretaget inte utsätts för ett direkt angrepp.

Hur incidenten gick till

Financial Business and Consumer Solutions (FBCS), en inkassoleverantör som Comcast tidigare använde, utsattes för ett nätverksintrång i februari 2024. Angripare fick åtkomst till servrar mellan den 14 och 26 februari och exfiltrerade känslig kundinformation. Comcast hade avslutat samarbetet med FBCS 2022, men leverantören behöll fortfarande arkiverad kunddata som borde ha raderats.

De komprometterade filerna innehöll namn, adresser, födelsedatum, personnummer och Comcast-kontonummer. Exponeringen drabbade omkring 237 000 tidigare och nuvarande Comcast-kunder. FBCS gick senare i konkurs, vilket försvårade kommunikationen och minskade transparensen kring intrånget.

Försenad rapportering väcker oro

FBCS informerade Comcast om intrånget i augusti 2024, flera månader efter händelsen. Fördröjningen tvingade Comcast att rapportera exponeringen till Federal Communications Commission när detaljerna blev tillgängliga. Tidsluckan mellan intrånget och rapporteringen ökade pressen på tillsynsmyndigheter som redan oroade sig för hur företag hanterar och övervakar inaktiva leverantörer.

Regulatoriska åtgärder och böter på 1,5 miljoner dollar

FCC utfärdade en sanktionsavgift på 1,5 miljoner dollar som del av ett förlikningsavtal med strikta krav för Comcast. Företaget erkände inget fel men gick med på att införa förstärkta efterlevnadsåtgärder för att förhindra liknande incidenter. Myndigheterna fokuserade på bristande leverantörstillsyn och onödig lagring av föråldrade kunduppgifter utanför Comcasts direkta kontroll.

Krav på säkerhetsförbättringar

Som del av uppgörelsen måste Comcast stärka styrning och övervakning i hela sitt leverantörsekosystem. Avtalet kräver att företaget ska:

Förbättrad tillsyn
– Granska säkerhetsrutiner hos tredjepartsleverantörer
– Upprätthålla tydliga procedurer för leverantörshantering
– Dokumentera och verifiera alla processer för datahantering

Dataminimering
– Radera onödig kunddata som finns kvar hos äldre leverantörer
– Förhindra att föråldrade filer fortsätter att ligga kvar i externa system

Rapportering och efterlevnad
– Informera FCC om relevanta säkerhetsincidenter inom 30 dagar
– Lämna framstegsrapporter var sjätte månad i tre år
– Utse en särskild regelefterlevnadsansvarig som hanterar tillsynskraven

Påverkan på kunder

Dataläckan visar hur kundinformation kan förbli utsatt även efter att ett företag avslutar ett leverantörsavtal. Även om Comcasts egna system inte komprometterades ökar den exponerade datan riskerna för identitetsstöld, riktad phishing och kontobedrägerier. Incidenten visar hur gamla filer och inaktiva leverantörskontrakt fortfarande kan hota kunders integritet när säkerhetspolicys inte följs.

Varför tredjepartsriskerna fortsätter att växa

Moderna tjänsteekosystem bygger på komplexa kedjor av externa leverantörer. När företag tappar kontroll över vilka leverantörer som fortfarande lagrar känslig data förlorar de både insyn och styrning. Denna incident belyser ett bredare branschproblem: stark intern säkerhet ger begränsat skydd när föråldrad information ligger kvar i oövervakade miljöer.

Slutsats

Sanktionsavgiften efter dataläckan hos en tidigare Comcast-leverantör understryker hur viktigt det är att ha strikt kontroll genom hela leverantörslivscykeln. Företag måste följa tydliga rutiner för datalagring, hålla avtal uppdaterade och granska alla tredjepartssystem som hanterar kundinformation. Starkare styrning minskar riskerna och skapar en säkrare miljö för både konsumenter och tjänsteleverantörer.