Ирландия оштрафовала компанию Meta на 91 миллион евро за хранение паролей в открытом виде

Комиссия по защите данных (DPC) в Ирландии оштрафовала компанию Meta Platforms Ireland Limited (MPIL) на 91 миллион евро (100 миллионов долларов) за хранение в открытом виде паролей сотен миллионов пользователей.

Инцидент произошел в 2019 году. Тогда Meta публично раскрыла его и уведомила DPC, которая начала расследование практики хранения конфиденциальных пользовательских данных технологическим гигантом.

«В марте 2019 года компания MPIL уведомила DPC о том, что она непреднамеренно хранила некоторые пароли пользователей социальных сетей в «открытом тексте» в своих внутренних системах (то есть без криптографической защиты или шифрования)», - говорится в сообщении DPC.

В сообщении за 2019 год Meta заявила, что во время плановой проверки безопасности в начале года обнаружила «некоторые пароли пользователей», хранившиеся в ее системах в читаемом формате.

Хотя компания не сообщила, сколько пользователей пострадали, она предположила, что уведомит «сотни миллионов пользователей Facebook Lite, десятки миллионов других пользователей Facebook» и миллионы пользователей Instagram.

Стоит отметить, что пароли были доступны сторонним лицам, и проверка не выявила никаких признаков злоупотребления или неправомерного доступа.

Хранение паролей учетных записей пользователей без надлежащих средств защиты, таких как шифрование и контроль доступа, является нарушением нескольких статей Общего регламента по защите данных (GDPR), касающихся мер, которые предпринимают контролеры данных для обеспечения безопасности данных людей:

• Статья 33(1) - Уведомление о нарушении персональных данных: Meta своевременно не уведомила DPC о том, что хранила пароли пользователей в открытом виде, что является нарушением персональных данных.
• Статья 33(5) - Документирование нарушения персональных данных: Meta не задокументировала должным образом нарушение персональных данных, связанное с хранением паролей пользователей в открытом виде, не сохранив надлежащие записи об этом инциденте.
• Статья 5(1)(f) - Целостность и конфиденциальность: Meta не приняла адекватных мер безопасности для обеспечения защиты паролей пользователей, поскольку они хранились в открытом виде, без шифрования или криптографической защиты.
• Статья 32(1) - Безопасность обработки: Meta не предприняла соответствующих технических и организационных мер для защиты паролей, таких как шифрование, что позволило бы сохранить конфиденциальность данных и снизить риск несанкционированного доступа.

За вышеуказанные нарушения, а также принимая во внимание, что Meta добровольно проинформировала ирландский орган по защите данных, DPC налагает официальный выговор и административный штраф в размере 91 миллиона евро.

DPC опубликует позднее свое полное решение и информацию, связанную с этим инцидентом, говорится в сообщении агентства.