Hack di British Airways: perché la multa record di 183 milioni di sterline avrebbe potuto essere molto più grande?
La violazione dei dati delle compagnie aeree è stato il primo caso importante in base alle nuove regole GDPR
Pascal Pavani/AFP/Getty Images
Lo scorso anno British Airways è stata multata di 183 milioni di sterline per una grave violazione della sicurezza, la più grande sanzione mai comminata dall'Ufficio del Commissario per le informazioni del Regno Unito (ICO).
La compagnia aerea si dice sorpresa e delusa dalla decisione e intende presentare ricorso.
Ma gli esperti sottolineano che il regolatore avrebbe potuto infliggere a BA una multa per un totale di oltre il doppio di tale importo, ai sensi del regolamento generale sulla protezione dei dati (GDPR) a livello europeo. Quindi quali sono le nuove regole e perché questo caso è stato così significativo?
Cosa è successo nell'hack della BA?
Il 6 settembre, la compagnia aerea ha annunciato che i dati personali e di pagamento di decine di migliaia di clienti erano stati rubati durante una violazione dei dati.
I dettagli delle carte di pagamento, inclusi il numero, la data di scadenza e il codice di sicurezza a tre cifre o 'valore di verifica della carta' (CVV), sono stati estratti illegalmente dal sistema di prenotazione, segnala L'indipendente .
BA ha affermato che gli hacker hanno effettuato un sofisticato attacco criminale dannoso, compromettendo 382.000 transazioni effettuate sul suo sito Web e sulla sua app tra il 21 agosto e il 5 settembre. La polizia e le autorità competenti erano state avvisate, ha aggiunto la società.
Chiedendo scusa alle persone colpite, i capi della BA hanno affermato che la violazione era stata risolta e che i dati rubati non includevano i dettagli del viaggio o del passaporto. L'azienda ha iniziato a contattare i clienti nel momento in cui è stata scoperta la violazione, ha aggiunto la compagnia aerea.
L'ICO questa settimana ha affermato che gli utenti del sito Web sono stati dirottati su un sito fraudolento, dove sono stati raccolti i dettagli di circa 500.000 persone.
Dopo l'annuncio della multa, il presidente della BA Alex Cruz ha dichiarato lunedì: British Airways ha risposto rapidamente a un atto criminale per rubare i dati dei clienti. Non abbiamo trovato prove di frode/attività fraudolenta sugli account collegati al furto.
Dove entra in gioco il GDPR?
La multa della BA è la prima ad essere resa pubblica in base alle nuove regole, entrate in vigore nel maggio 2018 nel più grande sconvolgimento della privacy dei dati in 20 anni, afferma il BBC .
Fino ad ora, la sanzione più grande è stata di £ 500.000, imposta a Facebook per il suo ruolo nello scandalo dei dati di Cambridge Analytica. Questo era il massimo consentito dalle vecchie regole sulla protezione dei dati che si applicavano prima del GDPR, afferma l'emittente.
Le nuove regole consentono una sanzione massima del 4% del fatturato del colpevole, che per BA sarebbe stato di 488 milioni di sterline. Invece, la sanzione inflitta ammonta all'1,5% del fatturato della compagnia aerea nel 2017 ed è notevolmente inferiore al massimo di 488 milioni di sterline.
Il caso ha suscitato notevole interesse in quanto primo del suo genere, come ha osservato la giornalista di sicurezza informatica Kate O'Flaherty in un articolo per Forbes lo scorso settembre.
Ian Thornton-Trump, un veterano del settore della sicurezza informatica, ha detto a O'Flaherty che sarebbe stata una decisione difficile per l'ICO. Tutti vogliono che il GDPR abbia i denti, quindi l'ICO deve trovare il giusto equilibrio qui, ha spiegato.
La violazione della BA non è stata così grave come alcuni altri attacchi recenti, come quello subito da Equifax nel 2017 , e l'ammenda massima potrebbe spingere BA al punto di insolvenza, ha aggiunto Thornton-Trump.
Ha previsto una multa compresa tra £ 5 milioni e £ 10 milioni, aggiungendo: È sostanziale ma non mette a rischio l'azienda e non è 'troppo politico'.
Protestando contro la multa di 183 milioni di sterline annunciata questa settimana, Willie Walsh, amministratore delegato dell'International Consolidated Airlines Group (IAG), la società madre di BA, ha dichiarato: Intendiamo prendere tutte le misure appropriate per difendere vigorosamente la posizione della compagnia aerea, compreso fare qualsiasi appello necessario .
