Oszuści podszywają się pod UODO i chcą wyłudzić dane

Cyberprzestępcy podszywają się pod Urząd Ochrony Danych Osobowych. Pojawiły się fałszywe prośby, wysyłane w imieniu UODO, o przesyłanie szczegółowych informacji dotyczących monitoringu wizyjnego. Urząd takich informacji nie wysyłał. 

W poniedziałek, 19 października CSIRT GOV (Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego) poinformował Urząd Ochrony Danych Osobowych o kampanii skierowanej do firm instalujących monitoring. Nadawca podszywa się pod UODO żąda od adresatów informacji na temat instalacji monitoringu wizyjnego, w tym zwłaszcza danych kontaktowych użytkownika końcowego, lokalizacji (wraz z dokładnymi współrzędnymi geograficznymi), adresów IP urządzeń i ich numerów seryjnych, a także wersji oprogramowania firmware oraz informacji o modelu kamery.

Treść fałszywej informacji:

„Szanowni Państwo. W związku z prowadzoną analizą zgodności systemów monitoringu wizyjnego z obowiązującymi przepisami dotyczącymi ochrony danych osobowych, w szczególności art. 5 ust. 1 lit. f, art. 25 oraz art. 32 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), zwracamy się o przygotowanie szczegółowego zestawienia instalacji systemów monitoringu wizyjnego wykonanych przez Państwa przedsiębiorstwo w okresie ostatnich 12 miesięcy...”

Do tego są podane prawie poprawne dane teleadresowe naszego Urzędu, jest też tabelka do wypełnienia (gdzie trzeba wpisać szereg wrażliwych danych). Na koniec jest ponaglenie:

„Prosimy o przekazanie kompletnego zestawienia w formacie XLSX w terminie 7 dni roboczych od otrzymania niniejszego pisma”

oraz sformułowanie, że

„Niniejszy wniosek stanowi urzędowe wezwanie UODO”. 

Oszuści domagają się wskazania m.in. adresów IP urządzeń, numerów seryjnych, wersji oprogramowania. Takie informacje pozwalają ustalić czy urządzenie może mieć np. nieaktualne oprogramowanie. Przestępcy mogę też wykorzystać fabryczne ustawienia urządzenia (o ile instalator lub użytkownik ich nie zmienił), by przejąć nad nim kontrolę.

UODO informuje:

• Taka wiadomość e-mail nie została wysłana przez Urząd Ochrony Danych Osobowych.
• Urząd Ochrony Danych Osobowych nigdy takich pism/ankiet nie rozsyła, szczególnie w formie urzędowego wezwania.
• Urząd Ochrony Danych Osobowych nie zbiera takich informacji.

To klasyczny rodzaj phishingu. To metoda oszustwa, w której oszuści podszywają się pod znane organizacje, firmy czy instytucje w celu wyłudzenia – za pomocą fałszywych wiadomości e-mail –wrażliwych danych lub pozyskania pieniędzy.

W tym przypadku żądane informacje mogą nie tylko umożliwić ustalenie adresów użytkowników końcowych, ale poprzez przejęcie obrazu mogą także wpływać na bezpieczeństwo osób i mienia.

Zalecamy zachowanie szczególnej ostrożności i każdorazowe weryfikowanie czy korespondencja rzeczywiście pochodzi od podmiotu, który podaje się za jej nadawcę.