Cuprins
RETIM n-a fost în stare să păzească nici măcar datele clienților. Pe 7 octombrie, o persoană neidentificată a obținut acces la toată baza de date a aplicației Contul-meu, cu datele clienților RETIM din tot județul, iar operatorul de salubritate din Timiș i-a anunțat pe oameni abia duminică, 11 octombrie, la ora 16:07, printr-un e-mail trimis de pe adresa noreply@retim.ro.
Cuprins
RETIM Ecologic Service SA, firma care strânge gunoiul de la toți timișenii și le trimite lunar facturi, a anunțat că o persoană neidentificată a avut acces neautorizat la baza de date a clienților. Informarea, transmisă în temeiul articolului 34 din Regulamentul GDPR, a ajuns în căsuțele de e-mail duminică după-amiază, deși accesul neautorizat s-a produs cu patru zile înainte.
Datele clienților RETIM, la îndemâna unei persoane neidentificate
Compania spune că nu poate spune sigur dacă datele clienților RETIM au fost și copiate, dar recunoaște că accesul a vizat toată baza de date a aplicației Contul-meu.
„Nu am putut stabili dacă datele dumneavoastră personale au fost și copiate, dar accesul nelegitim a vizat întreaga bază de date, iar persoana care l-a obținut susține că deține datele personale”, a transmis RETIM, în e-mailul către clienți.
Lista cu datele clienților RETIM aflate în baza atacată e lungă: nume și prenume, cod de client, adresă de facturare sau a punctului de colectare, e-mail, telefon, numărul de persoane declarate pentru locuință, istoricul facturilor cu sume și scadențe, istoricul plăților și datele de autentificare ale contului online. Cu alte cuvinte, exact ce ar avea nevoie cineva ca să sune un client și să-i ceară bani „pentru factura restantă”, știind dinainte suma și data scadenței. RETIM recunoaște riscul chiar în e-mail: cine are datele poate suna sau scrie clienților „prezentându-se drept RETIM”, cu informații reale, tocmai ca mesajul să pară credibil.
Și totuși, firma scrie negru pe alb:
„Nu există informații din care să rezulte că accesul neautorizat vă pune în pericol imediat interesele, drepturile sau libertățile”, a precizat RETIM.
Greu de împăcat liniștirea asta cu propria recomandare de câteva rânduri mai jos, prin care le cere clienților să nu facă nicio plată către un cont primit prin e-mail, SMS sau telefon și să nu dea datele cardului sau codurile primite prin SMS nimănui.
Patru zile de tăcere, apoi un e-mail duminică
Accesul neautorizat s-a produs pe 7 octombrie. Portalul Contul-meu a fost suspendat din 8 octombrie. Clienții au aflat abia duminică, 11 octombrie, după-amiaza. Patru zile în care, dacă atacatorul spune adevărul, cineva putea folosi datele clienților RETIM fără ca oamenii să știe că trebuie să fie atenți. La ora e-mailului, pe prima pagină a site-ului retim.ro nu era niciun anunț despre incident.
Tot pe 7 octombrie, ziua atacului, Vocea Timișului scria despre raportul Curții de Conturi care a găsit peste 18 milioane de lei în investiții RETIM nerealizate sau nedovedite, bani pe care Asociația de Dezvoltare Intercomunitară Deșeuri Timiș nu i-a verificat. ADID Timiș e instituția care ar trebui să controleze contractul RETIM. Aceeași firmă care n-a putut dovedi investiții de milioane n-a putut păzi nici datele oamenilor care o plătesc.
Ce să facă, în practică, cei care au cont RETIM
- Dacă ați folosit aceeași parolă și la e-mail, bancă, rețele sociale sau alte magazine online, schimbați-o peste tot, nu doar la RETIM.
- Nu faceți nicio plată către un cont indicat printr-un e-mail, SMS sau telefon primit în numele RETIM.
- Verificați orice solicitare la 0374 885 692, de luni până vineri, între 07:00 și 19:00.
- Nu dați nimănui datele cardului sau codurile primite prin SMS, indiferent cine pretinde că vă sună.
RETIM spune că a invalidat parolele tuturor conturilor, a oprit și conservat serverul afectat, a anunțat Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal și Directoratul Național de Securitate Cibernetică și a sesizat organele de urmărire penală. Compania promite o infrastructură nouă, cu sistemul de operare instalat de la zero, înainte de redeschiderea portalului Contul-meu, fără să anunțe o dată.
Citește și despre asta
