Несанкціонований доступ до середовища розробки й тестування, яким керувала IBM, поставив під загрозу персональні дані приблизно 70 тисяч людей, повідомило Земельне управління Сінгапуру (SLA). Набір даних створили 1998 року для тестування постачальником і мали наповнювати змодельованою та знеособленою інформацією. SLA заявило, що його робочі системи не постраждали.
2
3
10
Які дані опинилися під загрозою
У наборі були імена людей, номери їхніх національних ідентифікаційних карток NRIC та адреси нерухомості. Дані періодично оновлювали й використовували для тестування. За задумом, це мала бути змодельована та знеособлена інформація на основі записів про власність на нерухомість і подання документів. Однак під час перевірки в наборі виявили реальні персональні дані.
2
4
З оприлюднених повідомлень не зрозуміло, хто і коли додав до тестового набору реальні дані та чому їх не знеособили. Також не встановлено, чи завантажили всі ці дані та чи використали їх згодом неналежним чином.
Яку роль мала IBM і що саме постраждало
IBM була залучена для підтримки й обслуговування системи реєстрації прав на нерухомість Singapore Titles Automated Registration System (STARS) та системи електронного подання документів eLodgment System (ELS). Компанія також керувала середовищем розробки й інтеграційного тестування для цих систем. Несанкціонований доступ стосувався набору даних у цьому тестовому середовищі.
3
SLA заявило, що тестове середовище було відокремлене від робочих систем управління, а робочі системи STARS та ELS не постраждали. Міністерство права Сінгапуру також підтвердило, що тестове середовище було окремим від робочих систем SLA.
4
10 Отже, за наявними повідомленнями, інцидент стосувався персональних даних у тестовому наборі постачальника, а не порушення роботи систем реєстрації нерухомості.
Що відомо про розслідування
SLA повідомило, що подало заяву до поліції та співпрацює з IBM, урядовою агенцією GovTech і Агентством кібербезпеки Сінгапуру, щоб розслідувати інцидент.
4
Наведені джерела не підтверджують конкретних відомостей про те, коли й чи саме було відкликано доступ, чи повідомили про інцидент усіх постраждалих, а також чи поінформували Комісію із захисту персональних даних Сінгапуру. Тому ці кроки не можна вважати підтвердженими на підставі наявних повідомлень.