Hasbro, globalny producent zabawek i gier, powiadamia obecnych i byłych pracowników o możliwym dostępie do ich danych osobowych. Informacje wynikają z zawiadomień przekazanych przez firmę prokuratorowi generalnemu stanu Massachusetts. Sprawa pojawiła się po cyberataku, który pod koniec marca zakłócił działanie przedsiębiorstwa, jednak Hasbro nie potwierdziło, że oba zdarzenia są ze sobą powiązane.
Jakie dane mogły zostać ujawnione
Treść powiadomień wysłanych do poszkodowanych osób zawiera niewiele szczegółów. Firma zaznaczyła, że zakres informacji różni się w zależności od pracownika. Wśród danych, do których dostęp mogły uzyskać osoby nieuprawnione, wymieniono imiona i nazwiska, adresy poczty elektronicznej, adresy pocztowe, numery telefonów, numery identyfikacyjne oraz informacje finansowe. Nie oznacza to, że wszystkie wymienione kategorie dotyczyły każdej osoby objętej zawiadomieniem.
- Zawiadomienie z Massachusetts obejmuje 436 mieszkańców tego stanu.
- Hasbro nie podało łącznej liczby osób, których dane mogły zostać objęte incydentem.
- Wśród potencjalnie dostępnych informacji znalazły się dane kontaktowe, identyfikacyjne i finansowe.
- Osobom, których sprawa dotyczy, zaoferowano usługi ochrony tożsamości zewnętrznego dostawcy.
Niejasny związek z marcowym cyberatakiem
Pod koniec marca Hasbro padło ofiarą cyberataku. W reakcji na zdarzenie firma wyłączyła część systemów, co doprowadziło do zakłóceń w jej działalności. Późniejsze zawiadomienia dotyczące danych pracowników mogą być związane z tym incydentem, ale na obecnym etapie nie zostało to potwierdzone. Hasbro nie udzieliło bezpośredniej odpowiedzi na pytanie, czy naruszenie ochrony danych było skutkiem marcowego ataku.
Dochodzenie prowadzone z udziałem zewnętrznych ekspertów
Rzecznik Hasbro potwierdził, że firma wcześniej w tym roku wykryła incydent bezpieczeństwa dotyczący jej sieci. Przedsiębiorstwo podjęło działania mające ograniczyć skutki zdarzenia i rozpoczęło dochodzenie z udziałem zewnętrznych ekspertów cyberbezpieczeństwa. Celem analizy było ustalenie, co się wydarzyło oraz do jakich informacji mogło dojść podczas incydentu. Według ustaleń dochodzenia dostęp mogły uzyskać dane części obecnych i byłych pracowników.
Hasbro przekazało, że nie ma informacji o niewłaściwym wykorzystaniu danych osobowych i nie posiada wskazań, że zostaną one wykorzystane w taki sposób. Zaoferowanie usług ochrony tożsamości przedstawiono jako działanie ostrożnościowe dla osób objętych zawiadomieniem. W praktyce oznacza to, że firma informuje o możliwym dostępie do danych, ale nie potwierdza ich późniejszego wykorzystania.
W chwili publikacji materiału nie było wiadomo, ile osób zostało objętych zdarzeniem w skali całej firmy. Zawiadomienie z Massachusetts pokazuje jedynie część sprawy i nie pozwala określić łącznego zakresu naruszenia. Nie wskazano także znanej grupy cyberprzestępczej, która umieściłaby Hasbro na stronie służącej do publikowania wykradzionych danych. Najważniejsze pozostaje więc rozróżnienie między potwierdzonym postępowaniem wyjaśniającym a brakiem informacji o wykorzystaniu danych.
