В начале сентября 2018 года представители авиакомпании British Airways сообщили о компрометации данных пользователей своего сайта (ba.com) и мобильного приложения. Под угрозой оказались все пользователи, осуществлявшие бронирование через официальный сайт или приложение компании в период с 21 августа по 5 сентября 2018 года. Суммарно инцидент затронул около 500 000 человек, и хотя информация о паспортах и маршрутах клиентов в ходе утечки не пострадала, их личные и финансовые данные оказались в руках неизвестных злоумышленников.
Эксперты компании RisqIQ полагают, что случившееся было связано атакой MageCart, и одной из хакерских групп, практикующих веб-скимминг.
Теперь Управление Комиссара по информации Великобритании (ICO) обязало British Airways выплатить рекордный штраф в размере 183 000 000 фунтов за утечку пользовательских данных. В сообщении ICO говорится, что из-за ненадлежащих мер по обеспечению безопасности компрометации подверглись имена и адреса клиентов авиакомпании, а также их учетные данные, данные платежных карт и детали бронирований. Более того, по данным ICO, атака началась не в августе, а в июне 2018 года.
Столь крупный размер штрафа объясняется тем, что инцидент произошел уже после вступления в силу Общего регламента по защите данных (GDPR) в мае 2018 года. В итоге на British Airways был наложен штраф в размере 183,39 млн фунтов, что эквивалентно 1,5% общего оборота компании за финансовый год 2017 (и меньше возможного максимума в 4%, то есть 450 млн фунтов).
«Личные данные людей не просто так называются личными. И когда организация не может защитить их от потери, повреждения или кражи, это более чем тревожно. Поэтому закон в этом отношении предельно ясен — когда вам доверяют личные данные, вы должны позаботиться о них», — пишет комиссар Элизабет Денхем.
Представители British Airways сообщают, что удивлены и разочарованы таким поворотом событий. В авиакомпании подчеркивают, что сотрудничали с властями, оперативно отреагировали на атаку, и в итоге не обнаружили никаких признаков мошенничества, связанных с похищенными данными пользователей. Теперь у компании есть 28 дней, чтобы обжаловать штраф и решение ICO, чем в British Airways пообещали воспользоваться.
