Die Bank of America deckt einen Datenverstoß beim Gehaltsscheckschutzprogramm der SBA auf

Die COVID-19-Pandemie hat uns vor eine Reihe von Herausforderungen gestellt, und obwohl wir alle ziemlich sicher sind, dass wir sie überwinden werden, weisen einige von ihnen einige unerwartete Schwierigkeiten auf. Die heutige Geschichte zeigt Ihnen zum Beispiel, wie die Lösungen, mit denen wir die Krise bekämpfen, oft in Eile entworfen werden und manchmal fehlerhaft sind. Es sollte Ihnen auch zeigen, wie schlimm die Konsequenzen all dessen sein können.

Um kleinen Unternehmen zu helfen, die Pandemie zu überleben, hat die US-amerikanische Small Business Administration das Paycheck Protection Program eingerichtet. Unternehmen, die daran teilnehmen, können ein Darlehen erhalten, das vollständig vergeben wird, wenn es direkt dazu verwendet wird, die Belegschaft während der Sperrfrist zu beschäftigen.

Das Geld soll von an dem Programm teilnehmenden Banken wie der Bank of America (BofA) ausgeliehen werden. Es liegt in ihrer Verantwortung, die Informationen der Antragsteller zu verarbeiten und der Agentur zu übergeben. Die SBA baute schnell eine brandneue Online-Plattform auf, um dies zu ermöglichen, und am 22. April testete die BofA diese, indem sie einige Anträge einreichte. Aus Gründen, die unklar bleiben, obwohl dies ein Test sein sollte, verwendete die Bank reale Anwendungen voller realer Daten. Sicherlich bemerkte das Sicherheitsteam irgendwann, dass die übermittelten Informationen auch für andere im System angemeldete Personen zugänglich waren.

Ein SBA-Testsystem enthüllte die Informationen der Antragsteller

Letzte Woche reichte die Bank of America beim Generalstaatsanwalt des US-Bundesstaates Kalifornien eine Benachrichtigung über Datenschutzverletzungen ein, um den Vorfall offenzulegen. Es gibt nur wenige Details, aber laut dem Schreiben bemerkten die IT-Experten von BofA bei der Einreichung der Anträge am 22. April einen Fehler im SBA-System, der anderen Kreditgebern Zugriff auf die Dokumente gewährte.

Dies war besorgniserregend, da die Unterlagen eine Reihe von Informationen über die Unternehmen, die den Kredit beantragen, und ihre Eigentümer enthielten. Die potenziell exponierten Daten umfassten:

• Namen
• E-Mails
• Privatadressen
• Geschäftsadressen
• Telefonnummern
• Steueridentifikationsnummern
• Sozialversicherungsnummern

Es klingt beängstigender als es ist

Sobald die BofA die potenzielle Gefährdung bemerkte, benachrichtigte sie die SBA und die Daten wurden aus dem anfälligen System gelöscht. In der Mitteilung über Verstöße wird darauf hingewiesen, dass es keine Hinweise auf einen nicht autorisierten Zugriff auf die Daten gibt, und ein Sprecher sagte gegenüber dem Charlotte Business Journal, dass die Anzahl der betroffenen Kunden "gering" sei. Da es sich bei dem Verstoß jedoch um äußerst sensible Informationen handelt, bietet die Bank potenziell betroffenen Kunden einen Schutz vor Identitätsdiebstahl im Wert von zwei Jahren. Der Vorfall sollte keinen Einfluss auf die Anwendungen des Paycheck Protection Program der Kunden haben, und insgesamt sieht es nicht nach dem schlimmsten Leck der Welt aus. Ein Leck ist jedoch ein Leck, und wir müssen daraus lernen.

BofA war nicht die einzige Bank, die das System getestet hat, aber es ist die einzige Bank, die ein potenzielles Datenrisiko offenlegt, was möglicherweise darauf hindeutet, dass andere Kreditgeber Schein- oder ungültige Informationen verwendet haben oder nicht. In jedem Fall sollten Datensicherheitsexperten der Bank wahrscheinlich über die Richtlinien nachdenken, die bei der Verarbeitung der persönlichen und geschäftlichen Daten der Kunden angewendet werden. Sie sind jedoch nicht die einzigen, die daraus Schlussfolgerungen ziehen sollten.

Es ist offensichtlich, dass die SBA nicht die Zeit hatte, das System des Gehaltsscheckschutzprogramms ordnungsgemäß zu testen, aber ungefähr einen Monat bevor die Bank of America diesen Fehler entdeckte, durchlief die Agentur einen weiteren, nicht zusammenhängenden Vorfall, der darauf hindeutet, dass die Datensicherheit wahrscheinlich erhöht werden sollte Prioritätenliste der SBA. In diesem Fall drohte eine Sicherheitslücke, die privaten und geschäftlichen Informationen von 8.000 Antragstellern für das Darlehensprogramm für wirtschaftliche Verletzungen offen zu legen.

Die Coronavirus-Pandemie kann keine Entschuldigung für den schlechten Umgang mit den Daten von Personen sein. Hoffentlich wird jeder Verantwortliche dies verstehen, bevor es zu spät ist.