英国信息专员办公室（ICO）对Capita处以1400万英镑（约合1870万美元）的罚款，原因是2023年的一起数据泄露事件暴露了660万人的个人信息。
Capita是一家总部位于英国的大型外包和专业服务公司，拥有约3.4万名员工，年收入为30亿英镑，主要为英国和欧洲的客户提供咨询、数字和软件服务，客户包括地方政府、英国国家医疗服务体系（NHS）、国防部以及银行、公用事业和电信行业的组织。
数百家退休计划提供商受影响
ICO最初曾计划对Capita处以4500万英镑的罚款，但鉴于该公司承认责任、实施了重要的安全改进，并为受影响的个人提供数据保护服务，罚款金额被降低。其中，Capita plc被罚款800万英镑，Capita Pension Solutions Limited被罚款600万英镑。
ICO的调查现已确认，此次被盗数据影响了660万人，以及数百家Capita客户，包括英国的325家退休金计划提供商。
2023年4月，该公司宣布遭到黑客攻击，黑客试图入侵其内部的Microsoft 365环境，作为应对措施，部分系统被迫下线。三周后的更新确认，黑客访问了Capita内部IT基础设施的4%，并窃取了存储在被入侵系统上的私人文件。Black Basta勒索软件团伙声称对此次攻击负责，并威胁如果不支付赎金，将泄露所有被盗文件。
黑客入侵时长58小时
2023年3月22日，一名Capita员工下载了一个恶意文件，使黑客得以进入公司内部网络。尽管入侵行为在10分钟内被检测到，但Capita未能在接下来的58小时内隔离受感染的设备，这使得攻击者有足够的时间横向移动、在网络中传播并访问敏感数据库。
“该文件使得恶意软件得以部署到Capita网络中，使黑客能够留在系统中，获取管理员权限并访问网络的其他区域。”英国信息专员办公室表示。
“在2023年3月29日至30日期间，近一太字节的数据被窃取。2023年3月31日，勒索软件被部署到Capita系统中，黑客重置了所有用户密码，阻止Capita员工访问其系统和网络。”英国数据保护机构表示。
Capita因访问控制不力（缺乏分层管理员账户模型）、对安全警报的响应延迟、安全运营中心人员不足以及未能定期进行渗透测试和风险管理练习而被罚款。
Capita首席执行官阿道夫·埃尔南德斯宣布了与ICO达成的和解协议，强调自事件发生以来，公司为加强网络安全态势所做的努力和投资。他还指出，支付罚款预计不会对之前公布的投资者指导产生影响。
消息来源：bleepingcomputer.com；
本文由 HackerNews.cc 翻译整理，封面来源于网络；
暂无评论内容