גישה בלתי מורשית לסביבת פיתוח ובדיקות שניהלה IBM חשפה מידע אישי של כ־70 אלף בני אדם, לפי רשות הקרקעות של סינגפור (SLA). המאגר נוצר ב־1998 לצורכי בדיקות של ספקים, ונועד להכיל מידע מדומה ואנונימי. הרשות מסרה כי מערכותיה התפעוליות החיות לא נפגעו.
2
3
10
איזה מידע נמצא במאגר?
המאגר כלל שמות, מספרי NRIC — מספרי הזיהוי הלאומיים של סינגפור — וכתובות נכסים. הוא נוצר לצורכי בדיקות ועודכן מדי פעם. לפי התכנון, הנתונים בו היו אמורים להיות מדומים ואנונימיים, על בסיס מידע על בעלות בנכסים ורישומי הגשת מסמכים. בפועל, בבדיקה נמצא בו מידע אישי אמיתי.
2
4
הדיווחים הזמינים אינם מסבירים מי הכניס את המידע האמיתי למאגר, מתי הדבר קרה, או מדוע המידע לא עבר אנונימיזציה כמתוכנן. כמו כן, אין בהם אישור לכך שכל המידע הורד או שנעשה בו שימוש לרעה.
מה היה תפקידה של IBM — ומה לא נפגע?
IBM נשכרה לתמוך במערכות הרישום האוטומטי של נכסי סינגפור (STARS) ובמערכת ההגשה האלקטרונית (ELS) של רשות הקרקעות, ולתחזק אותן. IBM גם ניהלה את סביבת הפיתוח ובדיקות האינטגרציה של המערכות. הגישה הבלתי מורשית נגעה למאגר בסביבת הבדיקות הזאת.
3
לפי SLA, סביבת הבדיקות שנפגעה הייתה נפרדת ממערכות התפעול החיות שלה, והמערכות החיות STARS ו־ELS לא נפגעו. גם משרד המשפטים של סינגפור תיאר את סביבת הבדיקות כנפרדת מהמערכות החיות של הרשות.
4
10 לכן, על פי המידע שפורסם, האירוע נגע למידע אישי במאגר בדיקות של ספק — ולא לפגיעה מדווחת בתפעול השוטף של רישום נכסים.
מה ידוע על תגובת הרשות?
SLA מסרה כי הגישה תלונה במשטרה וכי היא חוקרת את האירוע בשיתוף IBM, GovTech — גוף הטכנולוגיה הממשלתי של סינגפור — והסוכנות לאבטחת סייבר של המדינה.
4
המידע הזמין במקורות המצוטטים אינו מאשר מתי ואם נשללו הרשאות גישה מסוימות, אם נמסרו הודעות אישיות לנפגעים או אם האירוע דווח לוועדה להגנת מידע אישי בסינגפור. לכן אין להתייחס לצעדים האלה כמאושרים על סמך הדיווחים הללו.