Kradzież tożsamości w Virgin Mobile

[mshmaster]

Dostaliście sms że ukradziono wasze dane osobiste ? Zastanawiam się co z tym dalej robić .

[jakubd]

Wszyscy dostali, to znany problem powszechnie. Info wisi nawet na stronie:

Cytat:Virgin Mobile Polska z przykrością informuje, iż w dniach 18-22.12.2019 roku doszło do ataku hackerskiego na jedną z aplikacji informatycznych naszej Spółki, która umożliwiała dostęp do danych rejestrowych. W wyniku zamierzonego, umyślnego ataku, doszło do nieuprawnionego ujawnienia danych rejestrowych (zbieranych na podst. art. 60 b ustawy prawo telekomunikacyjne) tj. imienia, nazwiska, numeru PESEL lub numeru dokumentu potwierdzającego tożsamość części abonentów prepaid Spółki. Dotyczy to 12,5% rejestracji abonentów prepaid dokonanych przez Spółkę Atak hakerski nie dotyczy abonentów Virgin Mobile Polska korzystających z oferty abonamentowej, którzy nie dokonywali rejestracji prepaid.


Virgin Mobile Polska niezwłocznie po wykryciu ataku podjęła działania mające na celu zabezpieczenie danych abonentów przed dalszymi atakami, złożyła stosowne zawiadomienie do organu nadzoru zgodnie z RODO, złoży również zawiadomienie o podejrzeniu popełnienia przestępstwa do organów ścigania. Spółka wzmocniła również procedury uniemożliwiające wykorzystanie danych abonentów, które zostały nielegalnie pozyskane (wprowadzenie dodatkowych/ponadstandardowych środków weryfikacji tożsamości), do składania dyspozycji dotyczących umów o świadczenie usług telekomunikacyjnych z tymi abonentami. Abonenci, których dane były celem ataku są informowani o zaistniałym incydencie.

Spółka podkreśla, iż opisany wyżej incydent jest wynikiem zaplanowanego i umyślnego ataku, oraz że atak dotyczy wyłącznie części abonentów naszej spółki dokonujących rejestracji prepaid. Podkreślamy, że dane abonentów Spółki są bezpieczne, a Spółka podjęła wszystkie działania wymagane przez RODO. Atakujący nie uzyskał dostępu do baz ani infrastruktury Virgin Mobile Polska, a jedynie do części danych udostępnianych przez pojedynczą aplikację.

Niebezpiecznik też o tym napisał:
https://niebezpiecznik.pl/post/wyciek-a-...in-mobile/

Jest słabo, ale z drugiej strony - operator zadziałał prawidłowo i z tego powodu dowodu nie planuję zmieniać, a PESELa zmienić się nie da

[szopen]

Mnie bardziej ciekawi czy przewidują zawiadamiać w jakiś inny sposób niż SMSem oraz jakiej grupy klientów to dotyczy (o ile oczywiście da się określić np. rejestracje z 2019, czy np. najstarsi klienci itp.), o skuteczność zawiadamiania w nietypowych sytuacjach (np. numer wygasły bądź wielokrotnie przeniesiony) przez tą firemkę raczej wątpię…

Jak dotąd moje dane już zdążyły wyciec z innych firm , więc mam jako-taką praktykę co robić…

[mshmaster]

Dostałem drugiego smsa z linkiem gdzie mają być dalsze wyjaśnienia ,próbowałem go otworzyć na starej nokii ale dostałem tylko error

[szopen]

(30-12-2019 11:04)mshmaster napisał(a):  Dostałem drugiego smsa z linkiem gdzie mają być dalsze wyjaśnienia ,próbowałem go otworzyć na starej nokii ale dostałem tylko error

Wrzuć linka go to poczytamy (jeśli nie jest jakiś personalizowany) u mnie jak dotąd brak SMSów.

Ciekawostka - zmiana hasła z poziomu przeglądarki nie działa, udało mi się to zrobić dopiero z aplikacji…
(jakkolwiek akurat nie miałem obaw dotyczących tego hasła, to w przypadku ujawnionego dużego wycieku danych warto je zmienić).
Co ciekawsze aplikacja na jednym z urządzeń (android6) nie pozwala na zalogowanie po zmianie hasła, ale burdel

---

PS podobno wyciekły tylko dane dostępne w panelu użytkownika tam
https://virginmobile.pl/selfcare/moje-dane/moje-dane

warto też raz na ruski rok sprawdzić czy e-mail gdzieś nie wypłynął np. tam:
https://haveibeenpwned.com/
https://monitor.firefox.com/

[jakubd]

Monitor Firefoksa (wbudowany z resztą w przeglądarkę ostatnio) sprawdza dokładnie w haveibeenpwned.com. Chrome też teraz dodaje tę funkcję.
Mój email i hasło wyciekł już kilkanaście razy, ale od dawna mam już oddzielne hasła do różnych usług.

[Ekonomista]

szopen napisał(a):Mnie bardziej ciekawi czy przewidują zawiadamiać w jakiś inny sposób niż SMSem oraz jakiej grupy klientów to dotyczy (o ile oczywiście da się określić np. rejestracje z 2019, czy np. najstarsi klienci itp.), o skuteczność zawiadamiania w nietypowych sytuacjach (np. numer wygasły bądź wielokrotnie przeniesiony) przez tą firemkę raczej wątpię…

Ja dostałem sms'a, że akurat moje dane wyciekły i...

Dostałem tego sms'a, mimo, że przenosiłem nr tel. wielokrotnie pomiędzy operatorami.

szopen napisał(a):Jak dotąd moje dane już zdążyły wyciec z innych firm , więc mam jako-taką praktykę co robić…

A konkretnie to co robić? ...Jest potrzeba zmiany dowodu osobistego?

[tps4]

Ekonomista napisał(a):A konkretnie to co robić? ...Jest potrzeba zmiany dowodu osobistego?

Poważnie nad tym bym się zastanowił, z tendencją raczej na zmieniać.

jakubd napisał(a):Niebezpiecznik też o tym napisał:
https://niebezpiecznik.pl/post/wyciek-a-...in-mobile/

Jest słabo, ale z drugiej strony - operator zadziałał prawidłowo i z tego powodu dowodu nie planuję zmieniać, a PESELa zmienić się nie da

Pesela w tej sytuacji raczej nie, choć moim zdaniem powinna być taka opcja jako piąta, bo na teraz są 4 powody dla których można pesel zmienić.
I co z tego, ze operator zadziałał prawidłowo - tzn. w myśl ustawy to i tak nic nie daje użytkownikom, którym skradziono dane. Warto poczytać więcej artykułów na Niebezpieczniku - ci goście mają duuuże doświadczenie , sam kiedyś byłem na prezentacji Niebezpiecznika ( nie tym płatnym szkoleniu)

[Ekonomista]

Pytanie jeszcze: Czy jeśli zmieniałem dowód, a tym samym jego nr, pomiędzy rejestracją karty w VM, a kradzieżą danych w VM, to jest jeszcze potrzeba zmiany teraz... Nowego nru dowodu sam nie podawałem w VM.

[tps4]

Ekonomista napisał(a):Pytanie jeszcze: Czy jeśli zmieniałem dowód, a tym samym jego nr, pomiędzy rejestracją karty w VM, a kradzieżą danych w VM, to jest jeszcze potrzeba zmiany teraz... Nowego nru dowodu sam nie podawałem w VM.

To moim zdaniem jesteś co do dowodu bezpieczny, choć ja bym zastrzegł ten stary dowód we wszystkich bankach gdzie masz konta, ( niezależnie od tego czy zmieniałeś dowód w samym banku/ach).

[jakubd]

A zmieniałeś z powodu utraty ważności (to wtedy nie trzeba zastrzegać) czy ot tak sobie?

[Ekonomista]

Zmieniałem dowód osobisty z powodu utraty ważności. Czyli rozumiem, że nic nie muszę robić?

[szopen]

(31-12-2019 11:21)Ekonomista napisał(a):  Pytanie jeszcze: Czy jeśli zmieniałem dowód, a tym samym jego nr, pomiędzy rejestracją karty w VM, a kradzieżą danych w VM, to jest jeszcze potrzeba zmiany teraz... Nowego nru dowodu sam nie podawałem w VM.

Zaglądałeś tam
https://virginmobile.pl/selfcare/moje-dane/moje-dane
?
widzisz swój numer dowodu?

[Ekonomista]

(31-12-2019 14:17)szopen napisał(a):  

(31-12-2019 11:21)Ekonomista napisał(a):  Pytanie jeszcze: Czy jeśli zmieniałem dowód, a tym samym jego nr, pomiędzy rejestracją karty w VM, a kradzieżą danych w VM, to jest jeszcze potrzeba zmiany teraz... Nowego nru dowodu sam nie podawałem w VM.

Zaglądałeś tam
https://virginmobile.pl/selfcare/moje-dane/moje-dane
?
widzisz swój numer dowodu?

Jest tylko mój PESEL, a nru dowodu nie ma.

Za to mam to samo hasło gdzie indziej - może zmienić?

[szopen]

Ekonomista napisał(a):[…]nru dowodu nie ma.

Więc w/g tłumaczeń VM nie mieli go w systemie (więc nie wyciekł).

Ekonomista napisał(a):Za to mam to samo hasło gdzie indziej - może zmienić?

Zmienić w obu miejscach, na różne i trudne do złamania (najbezpieczniejsze są losowo generowane, choć wymagają menadżera haseł albo zeszytu ).

Wprawdzie nie było mowy o wycieku haseł, ale wypłynęło całkiem sporo (więc może i hasła), a przykład sklepu morele pokazuje, że nawet gdy wyciekną zaszyfrowane hasła jest słabo (bo wiele z nich zostało złamanych, jeśli nie wszystkie…).

[morfik]

I tak tutaj jest problem głównie z numerem pesel (w tym data urodzenia) + nazwisko i numer telefonu. Ja u siebie numer w virgin mialem jako 2FA w usługach, bo tego numeru praktycznie nie używałem. Teraz pozostaje mi przepisać wszystkie usługo na inny numer i tego się pozbyć, bo już do niczego mi nie potrzebny...

[szopen]

Też się doczekałem SMSa… (jak do tej pory jednego, choć zapowiada on kolejne informacje), co ciekawsze na numerze już 2-krotnie przeniesionym do innych operatorów, ale przynajmniej nigdzie nie jest przypisany (a już myślałem, że mam spokój, choć w porywach miałem 5 numerów w VM do eksperymentów z automatyką…).

[szopen]

Są i informacje, takie nie za szczegółowe… i niespersonalizowane:
https://virginmobile.pl/zawiadomienie-o-...hackerskim

[szopen]

Ciąg dalszy "sagi Virgin" niestety brak dobrych wieści:
https://virginmobile.pl/zawiadomienie-o-...ony-danych

[tps4]

To co powyżej to akurat jest "normalne" ogłoszenie operatora do którego zmusza obowiązujące prawo.
Natomiast w Virgin rozpoczęła się kontrola UODO - https://uodo.gov.pl/pl/138/1301

Cytat:Zgodnie z art.3 ust.1 przywołanego rozporządzenia, jeżeli istnieje prawdopodobieństwo, że naruszenie danych osobowych wywoła niekorzystne skutki dla danych osobowych lub prywatności abonenta lub osoby fizycznej, dostawca publicznie dostępnych usług telekomunikacyjnych, oprócz powiadomienia krajowego organu nadzorczego, niezwłocznie zawiadamia o takim naruszeniu również abonenta lub użytkownika końcowego.

Każda osoba, która uzna, że jej dane osobowe są przetwarzane niezgodnie z prawem może złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych. Co więcej, art. 79 RODO daje jej także prawo, niezależnie od złożenia skargi do Prezesa UODO, do ochrony swoich praw przed sądem cywilnym. Zgodnie zaś z art. 82 RODO jeżeli poniosła ona szkodę majątkową lub niemajątkową, ma także prawo uzyskać od administratora odszkodowanie.

i rady od UODO :

Cytat: UODO przypomina jak się zabezpieczyć, gdy wiesz, że wyciekły Twoje dane

Atak hakera, zgubiona korespondencja, niezabezpieczone dane na serwerze - to sytuacje, w przypadku których osoby do tego nieuprawnione wchodzą (albo potencjalnie jest to możliwe) w posiadanie Twoich danych osobowych. W sytuacji, gdy administrator uzna, że istnieje ryzyko wykorzystania Twoich danych i powiadomi Cię o zaistniałym incydencie, podejmij działania, by zminimalizować ewentualne negatywne konsekwencje wykorzystania danych.

Osoby, które padły lub mają podejrzenie, że mogły paść ofiarami kradzieży tożsamości, w tym swoich dokumentów np. dowodu osobistego, powinny w pierwszej kolejności zgłaszać się na Policję. Dowód zostanie unieważniony z dniem zgłoszenia. Nie trzeba wtedy zgłaszać utraty dokumentu w urzędzie gminy (tak jak w przypadku zgubienia dowodu osobistego).

Pamiętaj, że takich spraw nie należy zgłaszać do Prezesa UODO, ale organom ścigania, gdyż to one są uprawnione do prowadzenia postępowania zmierzającego do wykrycia sprawcy przestępstwa i oceny czy doszło do jego popełnienia, oraz do kwalifikacji czynu przestępczego i wymierzenia stosownej kary.

Zarówno, gdy padasz ofiarą kradzieży dokumentu tożsamości, jak i kiedy po prostu go zgubisz, zgłoś ten fakt np. bankowi, w którym masz konto, celem zastrzeżenia tego dokumentu przed nieuprawnionym użyciem.

Oprócz wspomnianego już zastrzeżenia dokumentu tożsamości w banku, gdy wyciekły dane widniejące np. na dowodzie osobistym, możesz również założyć np. konto w systemie informacji kredytowej i gospodarczej, celem monitorowania swojej aktywności kredytowej.

Zachowaj dużą ostrożność podczas podawania danych przez Internet. Dokładnie analizuj kierowane do Ciebie komunikaty, zawarte np. w wiadomościach SMS, e-mail, by uniknąć np. ataku phishingowego, którego celem może być wyłudzenie dodatkowych danych czy uzyskanie danych dostępowych do internetowych systemów bankowych bądź innych usług, z których korzystasz.