Bank of America onthult een datalek bij SBA's Paycheck Protection Program

De COVID-19-pandemie heeft ons voor een aantal uitdagingen gesteld, en hoewel we er allemaal vrij zeker van zijn dat we ze zullen overwinnen, brengen sommigen nogal wat onverwachte moeilijkheden met zich mee. Het verhaal van vandaag laat je bijvoorbeeld zien hoe de oplossingen die we gebruiken om de crisis te bestrijden vaak haastig zijn ontworpen en soms gebrekkig zijn. Het zou u ook moeten laten zien hoe erg de gevolgen van dit alles kunnen zijn.

Om kleine bedrijven te helpen de pandemie te overleven, heeft de Amerikaanse Small Business Administration het Paycheck Protection Program opgezet. Ondernemingen die eraan deelnemen, kunnen een lening krijgen die volledig wordt vergeven als deze direct wordt gebruikt om het personeel in dienst te houden tijdens de periode van sluiting.

Het geld zou worden uitgeleend door banken die aan het programma deelnemen, zoals Bank of America (BofA), en het is hun verantwoordelijkheid om de informatie van de aanvragers te verwerken en aan de dienst over te dragen. De SBA bouwde snel een gloednieuw online platform om dit mogelijk te maken en op 22 april testte BofA het door enkele aanvragen in te dienen. Om onduidelijke redenen, hoewel dit een test moest zijn, gebruikte de bank echte applicaties vol echte data. Zeker, op een gegeven moment merkte het beveiligingsteam op dat de ingediende informatie ook toegankelijk was voor andere mensen die op het systeem waren ingelogd.

Een SBA-testsysteem onthulde de informatie van aanvragers

Vorige week diende Bank of America een datalekmelding in bij de procureur-generaal van de staat Californië om het incident bekend te maken. Er zijn weinig details, maar volgens de brief merkten de IT-professionals van BofA bij het indienen van de aanvragen van 22 april een fout op in het systeem van SBA, waardoor andere geldschieters toegang kregen tot de documenten.

Dit was een reden tot bezorgdheid, omdat de depots vrij veel informatie bevatten over de bedrijven die de lening hadden aangevraagd en hun eigenaren. De potentieel blootgestelde gegevens omvatten:

• Namen
• E-mails
• Huisadressen
• Zakelijke adressen
• Telefoonnummers
• Fiscale identificatienummers
• Burgerservicenummers

Het klinkt enger dan het is

Zodra BofA de mogelijke blootstelling opmerkte, meldde het de SBA en werden de gegevens verwijderd uit het kwetsbare systeem. De inbreukmelding wijst erop dat er geen bewijs is van ongeoorloofde toegang tot de gegevens en een woordvoerder vertelde The Charlotte Business Journal dat het aantal getroffen klanten "klein" is. Desalniettemin, omdat de inbreuk betrekking had op uiterst gevoelige informatie, biedt de bank potentieel betrokken klanten twee jaar lang bescherming tegen identiteitsdiefstal. Het incident mag geen invloed hebben op de Paycheck Protection Program-toepassingen van de klant, en al met al lijkt het niet op het ergste lek ter wereld. Een lek is echter een lek en daar moeten we van leren.

BofA was niet de enige bank die het systeem testte, maar het is de enige die een mogelijke blootstelling aan gegevens bekendmaakt, die al dan niet kan suggereren dat andere geldschieters dummy of ongeldige informatie gebruikten. Hoe dan ook, experts op het gebied van gegevensbeveiliging bij de bank moeten waarschijnlijk nadenken over het beleid dat wordt gehanteerd bij het verwerken van persoonlijke en zakelijke gegevens van klanten. Ze zijn echter niet de enigen die hieruit conclusies zouden moeten trekken.

Het is duidelijk dat de SBA niet de tijd had om het Paycheck Protection Program-systeem correct te testen, maar ongeveer een maand voordat Bank of America deze glitch ontdekte, onderging het bureau een ander, niet-gerelateerd incident dat suggereert dat de gegevensbeveiliging waarschijnlijk moet worden verhoogd De prioriteitenlijst van SBA. In dat geval dreigde een kwetsbaarheid de privé- en bedrijfsinformatie van 8000 aanvragers bloot te stellen aan het programma voor economische letselrampen.

De coronavirus pandemie kan geen excuus zijn voor een slechte omgang met de gegevens van mensen. Hopelijk begrijpt iedereen die verantwoordelijk is dit voordat het te laat is.