Otrzymałem dzisiaj oficjalne stanowisko firmy Aero2 na temat informacji z opublikowanego artykułu Afera z włamaniem do Plus Banku znacząca też dla Aero2. Informowałem w nim o tym, że włamanie do Plus Banku i potencjalnie upublicznienie wykradzionych z tej instytucji danych może wiązać się także z wyciekiem danych osobowych klientów Aero2. Sprawa wiąże się z tym, że w historii rachunków spółki Aero2, prowadzonych właśnie w tym Banku, znajdują się dane osób wysyłających kaucję i opłatę za wysyłkę. Jeżeli wykradzione zostały dane wszystkich klientów banku wraz z historią rachunku, to poza danymi kont źródłowych nadawców przelewów, w opisach przelewu znajdują się także numery PESEL korzystających z BDI.

Operator w swojej odpowiedzi przekazuje informacje, że Plus Bank poinformował Aero2, że dane klientów spółki nie zostały skradzione w wyniku tego ataku. Zwraca ponadto uwagę, że nigdy nie informował o liczbie korzystających z BDI oficjalnie. Wskazuje także, że atak trwał „nie dłużej, niż 3 miesiące”, a z tego nie można spekulować o zagrożeniu dla wszystkich klientów Aero2.

Pełna treść oświadczenia w rozwinięciu artykułu.

Rzecznik prasowy spółki, pani Edyta Wiącek-Różycka, przesłała do mnie wiadomość o następującej treści:

Aero2 ze szczególną troską dba o dane osobowe udostępniane Spółce zarówno przez Użytkowników Darmowego Dostępu do Internetu (BDI), jak i rosnącą grupę Klientów usług komercyjnych. Dlatego też Aero2 jest w stałym kontakcie ze swoimi partnerami handlowymi i monitoruje na bieżąco potencjalne ryzyka. Tak też było od samego początku w przypadku bieżącego incydentu związanego z atakiem przestępczym na Plus Bank.

Wiedza jaką Aero2 posiada bezpośrednio z Plus Banku pozwala na stwierdzenie, że dane osobowe Użytkowników BDI oraz Klientów komercyjnych usług telekomunikacyjnych Aero2 nie zostały w wyniku tego ataku skradzione, nie istnieje więc opisywane przez Autora ryzyko ich ujawnienia. .

Aero2 wyraża żal, że Autor Artykułu nie zadał Aero2 żadnych pytań w związku z przygotowaniem i publikacją materiału prasowego.

W sposób istotny narusza to standardy rzetelnego dziennikarstwa.

Ponadto, w rezultacie takiego działania grono czytelników serwisu jdtech.pl zostało wprowadzone w błąd i niepotrzebne zaniepokojenie przez Autora.

Dodatkowo, chcemy wskazać dodatkowe istotne błędy merytoryczne zawarte w Artykule:

1)      Aero2 nie informowało dotychczas o liczbie Osób Korzystających z Bezpłatnego Dostępu do Internetu, a zatem przytaczana w Artykule wielkość „ponad pół miliona” jest jedynie spekulacją Autora Artykułu,

2)      Z informacji powszechnie dostępnych wiadomo, że atak przestępczy na Plus Bank był ograniczony w czasie i trwał nie dłużej niż 3 miesiące, co dodatkowo dowodzi błędnej spekulacji Autora o zagrożeniu „wszystkich Klientów”, którzy dokonywali wpłat depozytu.

Komentarz autora bloga

Jestem absolutnie pewny, że Aero2, podobnie jak każdy operator telekomunikacyjny, bardzo poważnie podchodzi do sprawy danych osobowych. Ja osobiście przekazałem operatorowi swoje dane z pełną ufnością co do ich bezpieczeństwa i w tym zakresie nie zawiodłem się na żadnym etapie współpracy z Aero2, ani z żadnym innym operatorem telekomunikacyjnym. W zasadzie nie kojarzę w historii GSM w Polsce, aby pojawił się jakikolwiek wyciek danych z winy operatora komórkowego.

W tym wypadku Aero2 nie jest w żadnym stopniu winne jakichkolwiek zaniedbań w tym zakresie, a jest jedynie potencjalnie poszkodowaną stroną afery wokół ataku na Plus Bank.

Cieszy mnie zapewnienie, że w wyniku ataku na Plus Bank nie została wykradziona historia dwóch rachunków spółki związanych z BDI. Będę uważnie obserwował sprawę. Sytuacja jest ciągle rozwojowa, a mój niepokój wiąże się z tym, że włamywacz oświadczył wprost, że uzyskał dostęp do grupy kont firmowych klientów banku, a do tego uzyskał pełen dostęp do serwera WWW interfejsu bankowego. A to potencjalnie umożliwia uzyskanie dostępu pośredniego lub bezpośredniego do historii rachunków wszystkich klientów. I stąd właśnie moje zaniepokojenie przekazane w poprzednim artykule.

W kwestii liczby korzystających sprawa jest bardzo prosta – dzięki wsparciu czytelników mam dostęp do pojedynczych numerów ICCID wydawanych kart SIM. Przez wiele miesięcy wydawane karty miały kolejne numery, a obserwacje w kolejnych latach wydawania kart potwierdzają w miarę liniową numerację kart. Oczywiście numeracja ta nie oddaje w 100% liczby korzystających (karty są zwracane, mogą być wydawane wtórniki itd.), jednak można w ten sposób ocenić, ile w sumie kart SIM zostało wydanych i stąd wzięła się ta liczba. Początki tych obserwacji można znaleźć w historii artykułów na blogu o liczbie wydanych kart SIM. Liczby aktywnie wykorzystywanych kart nie da się w ten sposób ustalić i jest to kompletnie inna sprawa, choć przez jakiś czas dało się ustalić, ile maksymalnie osób może jednocześnie korzystać z Aero2, co także opisywałem na blogu.

Natomiast czas trwania skutecznego ataku na Plus Bank ograniczony do 3 miesięcy w żaden sposób mnie nie pociesza. W bankowości nawet pojedynczy nieuprawniony dostęp do danych jest już nie do zaakceptowania, o ile winnym zaniedbania nie jest użytkownik końcowy (patrz: wirusy i trojany). Wystarczy jeden, pełen dostęp do historii rachunku, aby… mieć kompletną historię rachunku.

Podsumowując: celem artykułu było wskazanie możliwości potencjalnego wycieku danych osobowych osób, które przelewały kaucje na konto Aero2 w Plus Banku. Operator w żaden sposób nie ponosi odpowiedzialności za tę sytuację, a jedynie mógłby być ewentualną ofiarą sytuacji. Zapewnienie o tym, że Plus Bank nie stwierdził manipulacji na kontach Aero2 cieszą i uważam, że możemy przyjąć, iż tak faktycznie było.

Tak czy inaczej zawsze należy uważać, komu powierzamy nasze dane osobowe, jak są przetwarzane i odpowiednio chronić (zwłaszcza nasze dokumenty) przed niepowołanym kopiowaniem i wykorzystaniem ze względu na coraz wymyślniejsze metody wykorzystania ich w celach niezgodnych z naszą wolą. Nasze dane osobowe mają konkretną wartość i należy je po prostu chronić.

1. Wyciek danych osobowych z bazy Aero2
2. Aero2 – przyspieszenie do 512 kbit/s oficjalnie
3. Afera z włamaniem do Plus Banku znacząca też dla Aero2
4. Aero2 – ile danych można pobrać miesięcznie?
5. Pierwszy telefon zgodny z Aero2 LTE – oficjalnie w Polsce