Blackbaud, kötü güvenlik ve pervasız veri saklama uygulamalarından sorumlu tutulduktan sonra Federal Ticaret Komisyonu'na yerleşti ve Mayıs 2020 fidye yazılımı saldırısına ve milyonlarca insanı etkileyen bir veri ihlaline yol açtı.
Blackbaud, NASDAQ'da birçok ülkedeki operasyonlarla ve hayır kurumları, eğitim kuruluşları ve sağlık kuruluşları gibi kar amacı gütmeyen kuruluşlara hitap eden bulut tabanlı bağışçı veri yönetimi yazılımı sağlayıcısı olan ABD merkezli bir şirkettir.
FTC'nin şikayeti, şirketin "bilgisayar korsanlarının ağlarını ihlal etme girişimlerini izleyemediğini, bilgisayar korsanlarının ağlarına ve veritabanlarına kolayca erişmesini önlemek için verileri segment verileri izleyemediğini, artık gerekli olmayan verilerin silinmesini, yeterince uygulanmasını sağladığından ve test et, test et, test ettiğini iddia ediyor. Güvenlik kontrollerini gözden geçirin ve değerlendirin "ve" çalışanların hesapları için varsayılan, zayıf veya özdeş şifreleri kullanmasına izin verildi. "
Anlaşmanın bir parçası olarak FTC, yazılım sağlayıcısına güvenlik önlemlerini iyileştirmesini ve artık sistemlerinden ihtiyaç duyulmayan müşteri verilerini silmesini emretti.
Blackbaud ayrıca veri güvenliği ve veri saklama protokollerini yanlış bir şekilde tasvir etmekten yasaklanacak ve FTC'nin şikayetinde belirtilen endişeleri düzeltmek için tasarlanmış bir bilgi güvenliği programı oluşturması gerekecektir.
Önerilen siparişe göre, Blackbaud ayrıca kişisel verileri korumanın ve silme için zaman çizelgesini belirtmenin arkasındaki mantığı detaylandıran bir veri saklama programı oluşturmalıdır. Blackbaud ayrıca, ilgili yerel, eyalet veya federal kurumlara rapor verilmesini gerektiren bir veri ihlali durumunda FTC'yi derhal bilgilendirmeye zorunludur.
FTC Tüketici Bürosu Direktörü Samuel Levine, "Blackbaud'un kalitesiz güvenlik ve veri saklama uygulamaları, bir bilgisayar korsanının milyonlarca tüketici hakkında hassas kişisel veriler almasına izin verdi. Şirketlerin sürdürdükleri verileri güvence altına alma ve artık ihtiyaç duymadıkları verileri silme sorumluluğu var." Dedi. Koruma.
FTC, Blackbaud'un, saldırganların çalınan verileri çevrimiçi sızdırmakla tehdit ettikten sonra, sistemlerinden milyonlarca insana ait kişisel verileri sistemlerinden 24 bitcoin fidcoin (o zamanlar yaklaşık 250.000 dolar değerinde) çalan fidye yazılımı çetesini ödediğini söylüyor.
FTC Perşembe günü yaptığı açıklamada, "Şirket, şikayete göre, bilgisayar korsanının çalınan verileri gerçekten sildiğini asla doğrulamadı." Dedi.
Blackbaud, Temmuz 2020'de ihlali açıkladı ve daha sonra 13.000'den fazla Blackbaud ticari müşterisine ve müşterilerine ABD, Kanada, İngiltere ve Bankacılık Bilgileri, Sosyal Güvenlik numaraları ve düz metin kimlik bilgileri de dahil olmak üzere Hollanda'ya ait verileri etkilediğini açıkladı.
Ayrıca, Eylül 2020'de ABD Menkul Kıymetler ve Borsa Komisyonu (SEC) ile 8-K dosyası sundu, bu da ihlalin tam kapsamı ile ilgili önemli ayrıntıları dışarıda bıraktı ve hassas çalıntı bilgilerle ilişkili riski varsayarak varsayımsal olarak tanımladı, varsayımsal olarak tanımladı, Sec'e göre.
Kasım 2020'ye kadar şirket, ABD ve Kanada'daki Mayıs 2020 ihlali ile ilgili 23 sınıf davasında zaten bir sanıktı.
Blackbaud, fidye yazılımı saldırısının "tam etkisini" ifşa edememesini vurgulayan SEC suçlamalarını çözmek için Mart 2023'te 3 milyon dolar ödemeyi kabul etti.
Ekim ayında, bulut sağlayıcısı ayrıca 49 ABD eyaletinden genel avukatlar tarafından desteklenen ihlalin ortak çok devletli soruşturmasını çözmek için 49,5 milyon dolar ödemeyi kabul etti.
FTC Başkanı Rebecca Kelly Slaughter ve Komiser Alvaro'nun FTC Başkanı Lina M. Khan, "Blackbaud'un ihlalin kapsamını ve şiddetini, kurbanları karanlıkta tuttu ve koruyucu eylemler yapmalarını, kötü bir durumu daha da kötüleştirmelerini erteledi." Dedi. M. Bedoya ortak bir açıklamada.
Johnson Controls, fidye yazılımı saldırısının 27 milyon dolara mal olduğunu söylüyor.
Loandepot Cyberattack, 16.6 milyon insan için veri ihlaline neden olur
Vans, North Face sahibi fidye yazılımı ihlalinin 35 milyon kişiyi etkilediğini söylüyor
MGM Resorts Fidye yazılımı saldırısı 100 milyon dolarlık kayıp, veri hırsızlığına yol açtı
Fidelity National Financial: Hackerlar 1,3 milyon kişinin verilerini çaldı
Kaynak: Bleeping Computer