Az elmúlt bő tíz év legnagyobb kampánya az adatvédelem körül zajlik az Európai Unióban, ugyanis napjainkra az adat vált a legnagyobb, legértékesebb fizetőeszközzé. A nemzetállamok ezeket a hatalmas mennyiségű, rendkívül érzékeny, személyes információkat fokozott óvatossággal gyűjtik, ugyanakkor ezek a központi adatbázisokban tárolt információk sokszor ósdi, könnyen feltörhető módon vannak kezelve, az állami rendszerek feltörése pedig mégsem akkora kihívás – ahogyan az történt a francia Pénzügyminisztérium esetében is.
A francia Pénzügyminisztérium csütörtökön elismerte, hogy kibertámadás áldozata lett, melynek következtében 678 ezer francia adófizető neve, jövedelme, lakcíme, családi helyzete és adózási profilja került eltulajdonításra – a centralizált adatbázisok pedig ismét csődöt mondtak.
A francia adóhatóság, a DGFiP rendszereit idén nyáron harmadjára támadják meg június és július után. A hatóság szerint az elkövetők megszerezték a belépéshez szükséges jogosultságokat és belépési adatokat, majd illetéktelen hozzáférések során adatokat tekintettek meg és másoltak ki saját használatra.
A Pénzügyminisztérium megerősítése szerint jelenleg 678 ezer magánszemély és vállalkozás érintett, a magánszemélyek esetében többek között a jövedelem, családi helyzet, forrásadó mértéke és a lakcím, míg a vállalkozások esetében a név, a SIREN-azonosító és különböző értesítési adatok kerülhettek ki. A hatóság hangsúlyozta: az adatok önmagukban nem biztosítanak hozzáférést az impots.gouv.fr adózói fiókokhoz, ami hasonló, mint a magyar ügyfélkapu-rendszer.
„Az érintett felhasználók egyéni tájékoztatást kapnak arról, hogy milyen adatokat tekinthettek meg vagy nyerhettek ki, és adott esetben milyen óvintézkedéseket kell tenniük.”
– áll a francia Gazdasági és Pénzügyminisztérium közleményében az eset kapcsán
Egy ilyen adatbázis értékét nem feltétlenül maga az ellopott információ adja, hanem az, hogy azt később más adatforrásokkal össze lehet kapcsolni. A jövedelemre, családi helyzetre és adózásra vonatkozó információk segítségével sokkal hitelesebb adathalász e-mailek, telefonhívások és hamis hatósági megkeresések készíthetők.
Különös kockázatot rejt ez a kriptovaluta-kereskedők számára, hiszen ha az adatok más, például tőzsdei KYC-adatokkal kerülnek párosításra, könnyen lehet azonosítani és célba venni egy vagyonosabb befektetőt – Franciaországban ennek egyre nagyobb divatja van, elég csak a Ledger társalapítójának, David Ballandnak és párjának az elrablására.
Megállapítani nem lehet, hány kriptovaluta-kereskedő van az ellopott listán, ugyanakkor az adathalászat és az adatok összekapcsolása új lehetőséget teremt a támadók számára, az intézmények pedig láthatóan célzott támadás alatt állnak, mégsem látszik az, hogy fel tudnák venni a kesztyűt a kiberbűnözőkkel szemben.
Sajnos a francia fiaskó nem példa nélküli. Magyarországon hasonló adatminimalizálási és törlési hibát figyelhettünk meg akkor, amikor a mezőgazdasági adatbázist elfelejtették törölni egy leselejtezett gépről, tele érzékeny információval.
A francia eset ugyanakkor rávilágít arra, hogy még a megfelelő védelem mellett is óriási kockázattal bírnak a központosított infrastruktúrák. Ezen változtathatna a decentralizált adattárolás, amely titkosított, több szereplő között elosztott rendszerekkel csökkenti a hibalehetőséget, miközben a jogosultságok és hozzáférések is finomabban szabályozhatók.
A decentralizáció azonban nem varázsszer: a rosszul kezelt kulcsok vagy hibás jogosultság-kezelés egy elosztott rendszerben is súlyos következményekkel járhat. A valódi cél nem az, hogy az adatokat máshová vigyük át, hanem hogy minél kevesebb érzékeny adat legyen egyetlen támadás során megszerezhető.
Megjelent a BitcoinBázis oldalon.
