Bank of America rivela una violazione dei dati al programma di protezione della busta paga di SBA

La pandemia di COVID-19 ci ha posto una serie di sfide e, sebbene siamo tutti abbastanza sicuri che le supereremo, alcune presentano alcune difficoltà inaspettate. La storia di oggi, ad esempio, ti mostrerà come le soluzioni che usiamo per combattere la crisi sono spesso progettate in fretta e talvolta sono imperfette. Dovrebbe anche mostrarti quanto possano essere gravi le conseguenze di tutto ciò.

Al fine di aiutare le piccole imprese a sopravvivere alla pandemia, l'amministrazione statunitense per le piccole imprese ha istituito il programma di protezione dello stipendio. Le imprese che vi prendono parte possono ottenere un prestito che sarà completamente perdonato se utilizzato direttamente per mantenere la forza lavoro impiegata durante il periodo di blocco.

Il denaro dovrebbe essere prestato da banche che partecipano al programma come Bank of America (BofA), ed è loro responsabilità elaborare le informazioni dei candidati e consegnarle all'agenzia. L'SBA ha rapidamente creato una nuova piattaforma online per facilitare questo, e il 22 aprile BofA lo stava testando presentando alcune domande. Per ragioni che rimangono poco chiare, sebbene si supponesse che questo fosse un test, la banca stava usando applicazioni reali piene di dati reali. Abbastanza sicuro, ad un certo punto, il suo team di sicurezza ha notato che le informazioni inviate erano accessibili anche ad altre persone che avevano effettuato l'accesso al sistema.

Un sistema di test SBA ha esposto le informazioni dei richiedenti

La scorsa settimana, Bank of America ha presentato una notifica di violazione dei dati al procuratore generale dello Stato della California per rivelare l'incidente. I dettagli sono pochi, ma secondo la lettera, quando presentavano le domande del 22 aprile, i professionisti IT di BofA hanno notato un difetto nel sistema di SBA, che ha dato accesso ad altri istituti di credito ai documenti.

Questa era una preoccupazione perché i documenti contenevano molte informazioni sulle imprese che chiedevano il prestito e sui loro proprietari. I dati potenzialmente esposti includevano:

• nomi
• Messaggi di posta elettronica
• Indirizzi di casa
• Indirizzi commerciali
• Numeri di telefono
• Numeri di identificazione fiscale
• Numeri di previdenza sociale

Sembra più spaventoso di quello che è

Non appena BofA ha notato la potenziale esposizione, ha notificato l'SBA e i dati sono stati eliminati dal sistema vulnerabile. L'avviso di violazione sottolinea che non vi è alcuna prova di accesso non autorizzato ai dati e un portavoce ha dichiarato al Charlotte Business Journal che il numero di clienti interessati è "piccolo". Tuttavia, poiché la violazione ha coinvolto alcune informazioni estremamente delicate, la banca sta fornendo ai clienti potenzialmente coinvolti due anni di protezione dal furto di identità. L'incidente non dovrebbe influire sulle applicazioni del programma di protezione dello stipendio dei clienti e, tutto sommato, non sembra la perdita peggiore del mondo. Una perdita è una perdita, tuttavia, e dobbiamo imparare da essa.

BofA non è stata l'unica banca a testare il sistema, ma è l'unica a rivelare una potenziale esposizione dei dati, che può o meno suggerire che altri istituti di credito abbiano utilizzato informazioni fittizie o non valide. In ogni caso, gli esperti di sicurezza dei dati presso la banca dovrebbero probabilmente pensare alle politiche utilizzate durante l'elaborazione dei dettagli personali e commerciali dei clienti. Tuttavia, non sono gli unici che dovrebbero trarre conclusioni da tutto ciò.

È ovvio che l'SBA non ha avuto il tempo di testare correttamente il sistema del programma di protezione dello stipendio, ma circa un mese prima che Bank of America scoprisse questo problema, l'agenzia ha attraversato un altro incidente non correlato che suggerisce che la sicurezza dei dati dovrebbe probabilmente essere aumentata Elenco prioritario di SBA. In tal caso, una vulnerabilità ha minacciato di esporre le informazioni private e commerciali di 8.000 richiedenti al programma di prestito di catastrofe per lesioni economiche.

La pandemia di coronavirus non può essere una scusa per una cattiva gestione dei dati delle persone. Eventualmente tutti i responsabili lo capiranno prima che sia troppo tardi.