Ozon избежал наказания за утечку данных пользователей

«Поскольку потока обращений клиентов Ozon в уполномоченный орган мы не зафиксировали, Роскомнадзор считает, что факт компрометации 30 тысяч клиентских аккаунтов не привёл к фактическому нарушению прав субъектов персональных данных», — сообщили в пресс-службе Роскомандзора, отвечая на вопрос, получил ли регулятор ответ на направленный в Ozon запрос об утечке данных.

«Всю прошлую неделю мы активно взаимодействовали с руководством и специалистами компании Ozon, чтобы проверить сведения СМИ об утечке данных 400 тысяч клиентов интернет-магазина. Первоначально особое беспокойство Роскомнадзора вызвали сообщения о том, что компания якобы не уведомила пользователей о факте утечки, поставив тем самым под угрозу безопасность клиентских аккаунтов», — отметил представитель Роскомнадзора.

Он также отметил, что публикация базы пользователей интернет-ритейлера может быть попыткой скомпрометировать компанию.

«Складывается впечатление о недобросовестной конкурентной борьбе и попытке неизвестных злоумышленников скомпрометировать компанию Ozon», — сказал представитель Роскомнадзора.

В Ozon сообщили, что утечки данных со стороны компании не было. «Утечки данных с нашей стороны не было, компания сбросила пароли и уведомила пользователей еще в 2018 году», — сообщила пресс-служба Ozon.

В компании подчеркнули, что оказавшиеся в сети данные пользователей — это скомпилированные записи из ранее попавших в интернет данные, а также автоматически сгенерированные записи, созданные с целью увеличения стоимости базы.

«В процессе проверки, которую провели после обнаружения нами файла в конце 2018 года, выяснили, что база — результат совмещения данных утечек с разных сервисов. Многие аккаунты мы обнаружили в опубликованных ранее “утечках” с различных сервисов, например, социальных сетей и игровых площадок, некоторые повторялись в документе по нескольку раз, а порядка 10% и вовсе не были зарегистрированы на Ozon.ru, — сообщил Александр Болотов, руководитель службы информационной безопасности Ozon.

Он подчеркнул, что только 7% попавшей в сеть базы действительно принадлежала реальным пользователям сервиса.

«Для подавляющего большинства — больше чем для 390 тысяч аккаунтов — регистрация на Ozon.ru являлась единственным действием на площадке компании, что говорит об автоматической их генерации», — отметил Болотов.

Ранее Роскомнадзор направил запрос в Ozon о попадании в интернет данных о клиентах Ozon.

Регулятор подчеркивал, что адрес электронной почты в совокупности с паролем «даёт доступ к аккаунту клиента и позволяет несанкционированно получать дополнительную информацию о клиенте и совершать от его имени различные действия».

«Такой набор личных сведений позволяет отнести их к персональным данным», - отмечал представитель Роскомнадзора, добавив, что в то же время «действующее национальное законодательство в сфере персональных данных не предусматривает обязанности по уведомлению уполномоченного надзорного органа об утечках». При этом регулятор работает над совершенствованием законодательства в данной сфере.