Siedem dni roboczych na przesłanie arkusza Excel, powołanie na RODO i niemal poprawne dane urzędu. Tak wyglądała korespondencja, którą ktoś rozsyłał w imieniu Urzędu Ochrony Danych Osobowych. UODO 20 października potwierdził, że nie jest autorem tych wiadomości.
Adresatami kampanii były firmy instalujące monitoring wizyjny. CSIRT GOV poinformował urząd o sprawie 19 października. Fałszywy nadawca oczekiwał zestawienia instalacji wykonanych w ciągu ostatnich 12 miesięcy, najlepiej w pliku XLSX.
Nie chodziło o same dane osobowe
- dane kontaktowe klientów i lokalizacje zainstalowanych kamer;
- adresy IP urządzeń oraz ich numery seryjne;
- modele kamer i wersje oprogramowania firmware.
Taki zestaw ma wartość również techniczną. Pozwala ustalić, gdzie pracują konkretne urządzenia oraz jakie rozwiązania mogą wymagać aktualizacji.
Fałszywy e-mail wyglądał urzędowo, ponieważ przywoływał przepisy RODO. Zawierał nawet sformułowanie o „urzędowym wezwaniu”. Urząd wyjaśnił jednak, że nie prowadzi takiego zbierania danych i nie wysyła podobnych ankiet.
Najważniejsza jest niezależna weryfikacja nadawcy
W takiej sytuacji nie odsyłałbym żadnego zestawienia bez potwierdzenia sprawy u wskazanej instytucji, na podstawie kontaktu znalezionego poza otrzymaną wiadomością. Sam podpis urzędnika, logo i adres w polu nadawcy nie wystarczają. Weryfikacji warto poddać również nagłówki wiadomości; opisaliśmy to w artykule Jak sprawdzić, czy e-mail jest prawdziwy?.
Źródło: UODO – ostrzeżenie z 20 października.