Nieuprawniony dostęp do środowiska deweloperskiego i testowego zarządzanego przez IBM naraził dane osobowe około 70 tys. osób — poinformował singapurski Urząd ds. Gruntów (Singapore Land Authority, SLA). Zbiór powstał w 1998 roku na potrzeby testów dostawcy i miał zawierać wyłącznie dane fikcyjne oraz zanonimizowane. SLA przekazał, że jego systemy operacyjne nie ucierpiały.
2
3
10
Jakie dane znalazły się w zbiorze?
W zbiorze były nazwiska, numery NRIC — singapurskich krajowych numerów identyfikacyjnych — oraz adresy nieruchomości. Zbiór utworzono do testów i okresowo aktualizowano. Dane miały być fikcyjne i zanonimizowane na podstawie informacji o własności nieruchomości i rejestrach zgłoszeń, ale w praktyce znalazły się tam prawdziwe dane osobowe.
2
4
Dostępne informacje nie wyjaśniają, kto umieścił te dane w zbiorze, kiedy to nastąpiło ani dlaczego nie zostały zanonimizowane. Nie ustalają też, czy pobrano wszystkie dane ani czy doszło do ich późniejszego wykorzystania.
Rola IBM i zakres incydentu
IBM odpowiadał za wsparcie i utrzymanie systemów Singapore Titles Automated Registration System (STARS) oraz eLodgment System (ELS). Zarządzał również środowiskiem deweloperskim i testowym służącym do integracji tych systemów. Nieuprawniony dostęp dotyczył zbioru znajdującego się właśnie w tym środowisku.
3
SLA podał, że środowisko testowe było oddzielone od systemów używanych na bieżąco, a działające systemy STARS i ELS nie zostały naruszone. Ministerstwo Prawa również opisało środowisko testowe jako oddzielne od systemów operacyjnych urzędu.
4
10 To ważne rozróżnienie: zgłoszony incydent dotyczył danych w zbiorze testowym zarządzanym przez dostawcę, a nie potwierdzonego przejęcia działających systemów rejestracji nieruchomości.
Co wiadomo o reakcji
SLA poinformował, że zgłosił sprawę policji i prowadzi dochodzenie we współpracy z IBM, GovTech oraz singapurską Agencją Cyberbezpieczeństwa (Cyber Security Agency of Singapore).
4
Dostępne w przywołanych doniesieniach informacje nie potwierdzają, kiedy ani czy cofnięto konkretne uprawnienia dostępu, powiadomiono poszczególne osoby lub zgłoszono incydent do Komisji Ochrony Danych Osobowych. Nie należy więc uznawać tych działań za potwierdzone na podstawie cytowanych źródeł.