Massivt datainnbrudd i Frankrike: 1,2 millioner familier fikk barns navn og stønadsbeløp eksponert

Nesten 1,2 millioner familiedossier fra det franske trygdevesenets feriehjelp-ordning er på avveie etter et datainnbrudd som ble gjort kjent fredag 9. oktober. Berørt er VACAF, tjenesten som fordeler feriestøtte til lavinntektsfamilier gjennom barne- og familiekontorene (CAF).

Datasettet omfatter 1 191 967 dossier fordelt på 58 regionale CAF-kontorer, i tillegg til 97 269 oppføringer knyttet til støtteordningen Pass Colo og 101 322 registreringer av barneopphold.

Barns navn, fødselsdatoer og familieinntekter

Innholdet i filene er svært detaljert. Ifølge publiserte lister dreier det seg om navn og fornavn på foreldre og barn, fødselsdatoer, CAF-dossiernummer, familiekvotienter (en fransk inntektsindikator som styrer hvor mye støtte en familie får), støttebeløp samt datoer og steder for ferieopphold.

Bankopplysninger og passord til CAF-portalen er derimot ikke berørt. Cnaf, forbundet som driver CAF-kontorene, uttaler at «bankopplysningene er på ingen måte berørt. Det samme gjelder vanlige påloggingsopplysninger».

Les også: Angret du et nettkjøp: 14 dager til å returnere uten å oppgi grunn

Lagt ut for 2 euro på dark web

Det var sikkerhetsnettstedet French Breaches som først oppdaget salget. Dataene ble lagt ut på et nettforum for cyberkriminelle til en pris på 2 euro (cirka 23 kroner). En av dem som fant sine egne opplysninger i utdragene, bekrefter at innholdet er ekte.

Cnaf stengte vacaf.org for innlogging og nye reservasjoner lørdag 10. oktober. Nettstedet har siden vært nede, og en gjenåpningsdato er ikke oppgitt.

Phishing-fare er den store trusselen

Fordi passord og bankinformasjon ikke er lekket, kan ikke angriperne logge inn eller tømme kontoer direkte. Faren ligger et annet sted. Cnaf oppfordrer brukerne til høyeste årvåkenhet overfor fremtidige målrettede phishing-forsøk.

Med familiekvotient, dossiernummer og barnas navn kan en svindler sende en e-post eller sms som ser ut som den kommer fra CAF, inneholder reelle opplysninger om mottakerens familie, og ber om bankopplysninger eller innlogging. Jo mer presise detaljer en svindlers melding inneholder, desto høyere er sjansen for at mottakeren klikker.

Les også: Lader du alltid på hurtiglader: Forskning viser at det kan koste deg tusenvis i batteri-slitasje over tid

Cnaf har varslet det franske datatilsynet CNIL og den nasjonale cybersikkerhetsmyndigheten ANSSI, og har varslet at det kommer en politianmeldelse.

Også i Norge gjelder 72-timersfristen

Også i Norge er store offentlige portaler i jevnlig dialog med Datatilsynet om avvikshåndtering. Hovedregelen er at en virksomhet som opplever et brudd på personopplysningssikkerheten, skal varsle Datatilsynet innen 72 timer dersom bruddet kan utgjøre en risiko for de berørte.

For enkeltpersoner som får vite at egne opplysninger er lekket, er det tre praktiske grep: skift passord på tjenester som bruker samme opplysninger, aktiver tofaktor-autentisering der det finnes, og vær ekstra kritisk til e-poster og sms-er som refererer til personlige detaljer, selv om de ser offisielle ut. En avsender som kjenner dossiernummeret ditt, er ikke nødvendigvis den som utstedte det.

Berørte franske familier får beskjed fra sin CAF om hvilke opplysninger som konkret er involvert i deres sak, i tråd med personvernforordningen.

Les også: BYD starter 400 kW lynlading i Europa: Nesten fullt batteri på under ti minutter

Les også: Bilder og passord ligger igjen på den gamle mobilen: Dette ene steget stopper neste eier