Fałszywe pismo z UODO. Oszuści polują na kamery
Cyberprzestępcy znaleźli nowy sposób na wyłudzanie danych. Podszywają się pod Urząd Ochrony Danych Osobowych i żądają szczegółowych informacji o systemach monitoringu. Ujawnienie tych danych może zagrozić nie tylko firmom, ale również ich klientom.
Oszuści żądają danych o kamerach
O niebezpiecznej kampanii poinformował UODO po otrzymaniu ostrzeżenia od CSIRT GOV, zespołu reagowania na incydenty bezpieczeństwa komputerowego. Atak jest skierowany przede wszystkim do firm zajmujących się instalacją monitoringu wizyjnego.
Fałszywe pismo wygląda jak wezwanie urzędowe. Oszuści powołują się w nim na przepisy RODO i rzekomą kontrolę zgodności systemów kamer z wymaganiami dotyczącymi ochrony danych osobowych. Podają też niemal prawidłowe dane teleadresowe urzędu, co może uśpić czujność odbiorców.
Adresaci mają przygotować zestawienie instalacji wykonanych w ciągu ostatnich 12 miesięcy. W specjalnej tabeli muszą rzekomo podać między innymi dane kontaktowe użytkowników końcowych, dokładne lokalizacje urządzeń wraz ze współrzędnymi geograficznymi, ich adresy IP, numery seryjne, modele kamer i wersje oprogramowania. Gotowy plik XLSX ma trafić do nadawcy w ciągu siedmiu dni roboczych. Wiadomość sugeruje przy tym, że jest to oficjalne wezwanie UODO.
Ujawnienie tych danych może mieć poważne skutki
To klasyczny phishing, czyli oszustwo polegające na podszywaniu się pod wiarygodną instytucję w celu wyłudzenia informacji. W tym przypadku stawką jest jednak coś więcej niż same dane kontaktowe.
Informacje o modelach kamer, adresach IP i wersjach oprogramowania mogą pomóc przestępcom w wyszukiwaniu urządzeń podatnych na ataki. Jeśli sprzęt ma nieaktualne oprogramowanie lub pozostawiono w nim domyślne dane logowania, napastnicy mogą próbować przejąć nad nim kontrolę. W skrajnym przypadku uzyskają dostęp do obrazu z kamer, co może narazić na niebezpieczeństwo ludzi i ich mienie.
Jak rozpoznać prawdziwą korespondencję z UODO?
Urząd stanowczo zaprzecza, że wysyłał takie wiadomości. Nie zbiera też tego rodzaju zestawień od instalatorów monitoringu.
Jak wyjaśnia UODO, gdy urząd prowadzi konkretne postępowanie i potrzebuje dodatkowych informacji, sprawa ma przypisaną sygnaturę, a korespondencja wskazuje właściwy departament. Kontakt odbywa się tradycyjną pocztą albo przez e-Doręczenia lub ePUAP.
Jeżeli urząd chce zebrać informacje o realizacji określonych obowiązków przez administratorów danych, poprzedza takie działania komunikatem na stronie uodo.gov.pl. Pytania mają wtedy ogólny charakter, są kierowane do administratorów danych, a ankiety są dobrowolne.
Osoby, które otrzymały podejrzane wezwanie, nie powinny odsyłać wymaganych zestawień. Warto zweryfikować nadawcę za pomocą oficjalnych kanałów kontaktu urzędu, zamiast korzystać z danych podanych w podejrzanej wiadomości.
