Μία από τις μεγαλύτερες πρόσφατες παραβιάσεις προσωπικών δεδομένων στη Βρετανία έπληξε τρία σημαντικά αεροδρόμια. Κυβερνοεπίθεση κατά του Manchester Airports Group (MAG) είχε ως αποτέλεσμα την πρόσβαση τρίτων σε δεδομένα περίπου 8,7 εκατομμυρίων πελατών των αεροδρομίων Manchester, London Stansted και East Midlands.
Τα δεδομένα προέρχονταν από κρατήσεις parking, lounges και Fast Track και από εγγραφές στο Wi-Fi. Περιλαμβάνουν emails, αριθμούς τηλεφώνου, αριθμούς κυκλοφορίας και ταχυδρομικούς κώδικες, αλλά όχι τραπεζικά στοιχεία ή δεδομένα πληρωμών.
Παρά την έκταση της διαρροής, δεν επηρεάστηκαν τα επιχειρησιακά συστήματα: οι πτήσεις συνεχίστηκαν κανονικά και, σύμφωνα με τον MAG, δεν τέθηκαν σε κίνδυνο οι επιβάτες ή η αεροπορική ασφάλεια.
Η επιτυχία μιας κυβερνοεπίθεσης δεν αποδεικνύει αυτομάτως παράβαση του δικαίου προστασίας δεδομένων.
Το UK GDPR, όπως και ο ευρωπαϊκός GDPR, δεν απαιτεί από μια επιχείρηση να εγγυάται ότι δεν θα υποστεί ποτέ παραβίαση. Απαιτεί κατάλληλα τεχνικά και οργανωτικά μέτρα ασφαλείας, ανάλογα με τον κίνδυνο.
Άρα το κρίσιμο ερώτημα δεν είναι απλώς πώς εισήλθαν οι hackers, αλλά εάν ο MAG είχε λάβει το επίπεδο ασφάλειας που μπορούσε εύλογα να απαιτηθεί από έναν οργανισμό τέτοιας κλίμακας και σημασίας.
Όταν μια παραβίαση προσωπικών δεδομένων είναι πιθανό να δημιουργήσει κίνδυνο για τα δικαιώματα και τις ελευθερίες των προσώπων, το UK GDPR προβλέπει γνωστοποίηση στην αρμόδια εποπτική αρχή, κατά κανόνα εντός 72 ωρών από τη γνώση της παραβίασης.
Ο MAG αναφέρει ότι περιόρισε την πρόσβαση στα επηρεαζόμενα συστήματα, προσέλαβε ειδικούς κυβερνοασφάλειας, ενημέρωσε τις αρχές και επικοινώνησε με τους επηρεαζόμενους πελάτες.
Αυτό όμως δεν αποκλείει έρευνα για το εάν τα προληπτικά μέτρα ασφαλείας ήταν επαρκή.
Χωρίς τραπεζικά στοιχεία δεν σημαίνει χωρίς κίνδυνο
Ο συνδυασμός email, τηλεφώνου, ταχυδρομικού κώδικα και αριθμού κυκλοφορίας μπορεί να αξιοποιηθεί για ιδιαίτερα πειστικές επιθέσεις phishing, impersonation και social engineering.
Γι’ αυτό ο MAG προειδοποίησε τους πελάτες για απροσδόκητα emails, τηλεφωνικές κλήσεις και μηνύματα, διευκρινίζοντας ότι δεν θα ζητήσει αιφνιδιαστικά στοιχεία πληρωμών, τραπεζικά δεδομένα ή κωδικούς πρόσβασης.
Τι θα συνέβαινε στην Ευρωπαϊκή Ένωση;
Σε αντίστοιχο περιστατικό σε μεγάλο αεροδρόμιο της ΕΕ θα είχαμε δύο παράλληλους άξονες.
Ο πρώτος είναι ο GDPR: ασφάλεια επεξεργασίας, γνωστοποίηση στην εποπτική αρχή και, ανάλογα με τον κίνδυνο, ενημέρωση των υποκειμένων.
Ο δεύτερος αφορά το ευρωπαϊκό πλαίσιο κυβερνοασφάλειας και ιδίως τη NIS2, καθώς οι μεταφορές αποτελούν κρίσιμο τομέα.
Η διάκριση είναι ουσιώδης: ο GDPR προστατεύει πρωτίστως τα προσωπικά δεδομένα και τα δικαιώματα των προσώπων, ενώ το πλαίσιο NIS προστατεύει την ασφάλεια και ανθεκτικότητα δικτύων και πληροφοριακών συστημάτων. Παρόμοια διάκριση υπάρχει στο βρετανικό καθεστώς μεταξύ UK GDPR και NIS Regulations.
Ένα σοβαρό cyber incident μπορεί συνεπώς να ενεργοποιήσει περισσότερα ρυθμιστικά καθεστώτα και, υπό προϋποθέσεις, διαφορετικές διαδικασίες εποπτείας και κυρώσεων.
Η υπόθεση αποδεικνύει ότι επιχειρησιακή ανθεκτικότητα και προστασία προσωπικών δεδομένων είναι συγγενείς αλλά όχι ταυτόσημες έννοιες. Ένα αεροδρόμιο μπορεί να λειτουργεί κανονικά και ταυτόχρονα να έχει υποστεί εξαιρετικά σοβαρή παραβίαση δεδομένων.
Η τελική νομική αξιολόγηση επομένως δεν θα κριθεί μόνο από το γεγονός ότι δεδομένα 8,7 εκατομμυρίων προσώπων βρέθηκαν στα χέρια τρίτων, αλλά από ένα δυσκολότερο ερώτημα:
Είχε ένας διαχειριστής κρίσιμης υποδομής του μεγέθους του Manchester Airports Group λάβει, πριν από την επίθεση, όλα τα τεχνικά και οργανωτικά μέτρα ασφαλείας που μπορούσαν εύλογα να απαιτηθούν;
Από την απάντηση θα κριθεί εάν πρόκειται μόνο για ένα μεγάλο περιστατικό κυβερνοεγκλήματος ή και για υπόθεση κανονιστικής και ενδεχομένως αστικής ευθύνης.
