Orientering om brud på persondatasikkerheden
06. august 2024
Den 8. juli blev Favrskov Forsyning orienteret om et sikkerhedsbrud hos den underdatabehandler, som vi benytter til at udsende SMS’er til vores kunder vedr. tømning af affaldsbeholdere.
Favrskov Forsyning indberettede bruddet til Datatilsynet den 10. juli, men vurderede indledningsvist, at bruddet ikke indebar en høj risiko for fysiske personers rettigheder og frihedsrettigheder. Derfor underrettede vi ikke de personer, som er berørt af sikkerhedsbruddet. Denne vurdering lavede vi på baggrund af karakteren af de lækkede personoplysninger. Datatilsynet har efterfølgende truffet afgørelse om, at de berørte registrerede skal underrettes. De berørte kunder har derfor nu fået direkte besked via SMS.
Hvad er der sket?
Den 5. juli 2024 opdagede vores underdatabehandler at uautoriserede parter har udnyttet en fejl i deres system til at få adgang til en log over afsendte SMS’er. Vores underdatabehandler har udført en dybdegående undersøgelse og konkluderer, at der ikke har været yderligere brud på deres infrastruktur, og at der ikke er lækket yderligere data.
Den uautoriserede adgang har været begrænset til få timer, men det kan ikke udelukkes, at der er foretaget kopiering af data. Bruddet skyldes en kodningsfejl i IT-systemet hos vores underdatabehandler.
Hvilke personoplysninger er der tale om?
De lækkede data er almindelige personoplysninger: modtagers telefonnummer samt beskedteksten, som indeholder kundens vejnavn og husnummer (men ikke postnummer og by).
Hvad er der gjort for at afhjælpe bruddet?
Vores underdatabehandler har fundet det sikkerhedshul, som er blevet udnyttet og har udbedret fejlen, så den ikke længere kan udnyttes til at kompromittere fortroligheden. Desuden har de leveret en oversigt over de berørte SMS'er, så vores databehandler på den baggrund har kunnet udpege, hvilke kundeforhold i systemet, som er berørt af databruddet.
Hvilke konsekvenser har bruddet for dig?
Selv om der kun er tale om kompromittering af oplysninger som telefonnummer og delvis adresse på modtager, så kan disse oplysninger bruges til at lave målrettet smishing (phishing via SMS). Det vil sige, hvor en ondsindet aktør sender SMS‐beskeder – der fremstår som værende afsendt fra Favrskov Forsyning – med anmodning om bl.a. at afgive personoplysninger (fx betalingsoplysninger), og/eller SMS‐beskeder hvori der er links til ondsindede hjemmesider, som kan sprede virus (skadelig kode), hvis man klikker på dem. Når mange personer kan rammes af dette, øger det sandsynligheden for succes for de ondsindede aktører.
Vores underdatabehandler har ikke modtaget løsepenge-trusler eller lignende og har derfor ingen indikationer på, hvad der vil ske med de lækkede data, og de har heller ikke set data offentliggjort på det åbne internet.
Hvad kan du selv gøre?
Du skal som udgangspunkt ikke foretage dig noget, da dette blot er en orientering. Denne orientering har til formål at gøre dig ekstra agtpågivende ved eventuelle svindelsforsøg. Det er derfor ekstra vigtigt, at du er opmærksom på mistænkelige beskeder med Favrskov Forsyning som afsender. Vi sender aldrig SMS’er, hvor vi anmoder om personoplysninger.
Datatilsynet for nyligt har offentliggjort en nyhed om smishing, hvor tilsynet advarer om forhøjet risiko for SMS‐svindel. Du kan læse nyheden her: https://www.datatilsynet.dk/presse-og-nyheder/nyhedsarkiv/2024/jul/smishing-datatilsynet-advarer-om-en-forhoejet-risiko-for-sms-svindel.