Oszuści podszywają się pod UODO i chcą wyłudzić dane

Cyberprzestępcy podszywają się pod Urząd Ochrony Danych Osobowych. Pojawiły się fałszywe prośby, wysyłane w imieniu UODO, o przesyłanie szczegółowych informacji dotyczących monitoringu wizyjnego. Urząd takich informacji nie wysyłał. 

W poniedziałek, 19 października CSIRT GOV (Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego) poinformował Urząd Ochrony Danych Osobowych o kampanii skierowanej do firm instalujących monitoring. Nadawca podszywa się pod UODO żąda od adresatów informacji na temat instalacji monitoringu wizyjnego, w tym zwłaszcza danych kontaktowych użytkownika końcowego, lokalizacji (wraz z dokładnymi współrzędnymi geograficznymi), adresów IP urządzeń i ich numerów seryjnych, a także wersji oprogramowania firmware oraz informacji o modelu kamery.

„Szanowni Państwo. W związku z prowadzoną analizą zgodności systemów monitoringu wizyjnego z obowiązującymi przepisami dotyczącymi ochrony danych osobowych, w szczególności art. 5 ust. 1 lit. f, art. 25 oraz art. 32 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), zwracamy się o przygotowanie szczegółowego zestawienia instalacji systemów monitoringu wizyjnego wykonanych przez Państwa przedsiębiorstwo w okresie ostatnich 12 miesięcy...” – brzmi to dość wiarygodnie (inna sprawa, że wyszczególnione tu artykułu nie mają większego związku z monitoringiem).

Do tego są podane prawie poprawne dane teleadresowe naszego Urzędu, jest też tabelka do wypełnienia (gdzie trzeba wpisać szereg wrażliwych danych). Na koniec jest ponaglenie „Prosimy o przekazanie kompletnego zestawienia w formacie XLSX w terminie 7 dni roboczych od otrzymania niniejszego pisma” oraz sformułowanie, że „Niniejszy wniosek stanowi urzędowe wezwanie UODO”. 

Oszuści domagają się wskazania m.in. adresów IP urządzeń, numerów seryjnych, wersji oprogramowania. Takie informacje pozwalają ustalić czy urządzenie może mieć np. nieaktualne oprogramowanie. Przestępcy mogę też wykorzystać fabryczne ustawienia urządzenia (o ile instalator lub użytkownik ich nie zmienił), by przejąć nad nim kontrolę.

UODO informuje:

• Taka wiadomość e-mail nie została wysłana przez Urząd Ochrony Danych Osobowych.
• Urząd Ochrony Danych Osobowych nigdy takich pism/ankiet nie rozsyła, szczególnie w formie urzędowego wezwania.
• Urząd Ochrony Danych Osobowych nie zbiera takich informacji.

To klasyczny rodzaj phishingu. To metoda oszustwa, w której oszuści podszywają się pod znane organizacje, firmy czy instytucje w celu wyłudzenia – za pomocą fałszywych wiadomości e-mail –wrażliwych danych lub pozyskania pieniędzy.

W tym przypadku żądane informacje mogą nie tylko umożliwić ustalenie adresów użytkowników końcowych, ale poprzez przejęcie obrazu mogą także wpływać na bezpieczeństwo osób i mienia.

Jak działa UODO

Przypominamy, że Prezes UODO przede wszystkim bada to, jak administratorzy przetwarzają dane osobowe i jak je zabezpieczają. O dodatkowe szczegóły Urząd może dopytywać w trakcie postępowania, które wówczas ma nadane konkretną sygnaturę. W takim przypadku jest również podany kontakt do Departamentu, który prowadzi daną sprawę. Komunikacja odbywa się wówczas tradycyjną pocztą lub za pośrednictwem eDoręczeń lub ePuap.

W przypadku gdy UODO chce przyjrzeć się np. temu jak poszczególni administracyjni realizują określone w RODO obowiązki, takie działania poprzedzone są komunikatem na stronie www.uodo.gov.pl. Pytania mają charakter ogólny/opisowy, a prośba o udzielenie odpowiedzi jest adresowana do administratorów danych, a więc podmiotów, które decydują o celach i sposobach przetwarzania danych, a nie do instalatorów urządzeń, ich dostawców czy serwisów. Ponadto takie ankiety (jak choćby dotycząca sztucznej inteligencji) mają dobrowolny charakter.

Zalecamy zachowanie szczególnej ostrożności i każdorazowe weryfikowanie czy korespondencja rzeczywiście pochodzi od podmiotu, który podaje się za jej nadawcę.