Bulut bilişim sağlayıcısı Blackbaud, Mayıs 2020 fidye yazılımı saldırısı ve ortaya çıkan veri ihlali ile ilgili çok devletli bir soruşturmayı çözmek için 49 ABD eyaletinden genel avukatlarla 49,5 milyon dolarlık bir anlaşmaya vardı.
Blackbaud, yardım kuruluşları, okullar ve sağlık kuruluşları gibi kar amacı gütmeyen kuruluşlara hitap eden önde gelen bir yazılım çözümleri sağlayıcısıdır ve bağışçı katılımı ve seçmen verilerinin yönetimi konusunda uzmanlaşmıştır.
Bu veriler demografik detaylar, sosyal güvenlik numaraları, ehliyet numaraları, finansal kayıtlar, istihdam verileri, servet bilgileri, bağış geçmişleri ve korunan sağlık bilgileri gibi çok çeşitli hassas bilgiler içerir.
Blackbaud tarafından Temmuz 2020'de açıklanan ihlalde, 13.000'den fazla Blackbaud ticari müşterisine ve müşterileri ABD, Kanada, İngiltere ve Hollanda'dan gelen son derece hassas veriler, milyonlarca kişiyi etkiledi.
Saldırganlar müşterilerin şifrelenmemiş bankacılık bilgilerini, giriş bilgilerini ve sosyal güvenlik numaralarını çaldı. Blackbaud, çalınan tüm verilerin yok edildiği söylendikten sonra saldırganların fidye talebine uydu.
Bu haftanın 49,5 milyon dolarlık uzlaştırma, Blackbaud'un devlet tüketici koruma yasalarını, ihlal bildirim düzenlemelerini ve Sağlık Sigortası Taşınabilirliği ve Hesap Verebilirlik Yasası'nı (HIPAA) ihlal eden iddialarını ele alıyor.
Ohio Başsavcısı Dave Yost, "Dikkatsizlik tüketici verilerinin uzlaşmasını haklı çıkaramaz. Şirketler, kişisel bilgileri korumaya, tüketicilerin veri gizliliği ve korunması hakkındaki beklentilerini karşılamaya kararlı olmalıdır." Dedi.
Yerleşimin bir parçası olarak, Blackbaud da:
Şirket, 2020 üç aylık raporunda üç yıl önce en az 43 eyalet avukatı generalinin ve Columbia Bölgesi'nin olaya baktığını açıkladı.
Kasım 2020'ye kadar Blackbaud, ABD ve Kanada'daki Mayıs 2020 güvenlik ihlali ile ilgili 23 tüketici sınıfı eylem vakasında zaten dava açılmıştı.
Mart ayında şirket, 2020 fidye yazılımı saldırısının tam etkisini açıklayamadığını iddia ederek Menkul Kıymetler ve Borsa Komisyonu (SEC) tarafından getirilen suçlamaları yerine getirmek için 3 milyon dolar ödemeyi kabul etti.
SEC'e göre, Blackbaud'un teknolojisi ve müşteri ilişkileri personeli saldırganların donör banka hesap bilgileri ve sosyal güvenlik numaralarını çaldığını keşfetti. Ancak, şirketin uygun açıklama kontrolleri ve prosedürleri eksikliği nedeniyle konuyu yönetime yükseltmediler.
Daha sonra Blackbaud, ihlalin tam kapsamı hakkında önemli ayrıntıları atlayan bir SEC raporu sundu. Ayrıca rapor, saldırganlar tarafından erişilen hassas donör bilgileriyle ilişkili potansiyel riski küçümsedi ve bunu varsayımsal olarak tanımladı.
MGM Resorts Fidye yazılımı saldırısı 100 milyon dolarlık kayıp, veri hırsızlığına yol açtı
Sony, ABD'deki binlerce kişiyi etkileyen veri ihlalini doğrular
Motel One, fidye yazılımı saldırısından sonra veri ihlalini açıklar
Doğan Ontario Çocuk Kayıt Defteri Veri ihlali 3,4 milyon kişiyi etkiliyor
Caesars Entertainment fidye ödemesini, Müşteri Veri Hırsızlığı
Kaynak: Bleeping Computer