Em resumo: se suspeita de que saíram dados através do seu site, o tempo é o fator decisivo. Se está afetado, contacte-nos de imediato. Preservamos remotamente os vestígios, esclarecemos tecnicamente que dados podem estar afetados, fechamos o acesso e fornecemos uma documentação sólida para o encarregado da proteção de dados, o advogado e o segurador.
Não apague nada nem reinstale nada agora. Registos, base de dados e ficheiros são as únicas provas do que saiu e do que não saiu. Quem os substitui não poderá mais tarde comprovar nada. Comunicar uma emergência, e assumimos o caso desde a primeira mensagem.
Está afetado? Como reconhecer uma fuga de dados pelo site
Uma fuga de dados passa muitas vezes despercebida. Os indícios resultam, na maioria das vezes, de efeitos secundários:
- Clientes comunicam que dados que só você tinha aparecem noutro lado, ou que recebem e-mails de phishing com os detalhes corretos da encomenda.
- A base de dados está invulgarmente sobrecarregada, ou há exportações e dumps em locais onde não os criou.
- Nos registos aparecem consultas em massa a listas de clientes, encomendas ou perfis de utilizador, muitas vezes a ritmo regular.
- O seu servidor estabelece ligações de saída para endereços que não conhece, ou transfere uma quantidade invulgar de dados.
- Há novas contas de administrador, palavras-passe alteradas ou inícios de sessão a horas invulgares.
- Uma investigadora de segurança, um jornalista ou uma autoridade chama a sua atenção para dados acessíveis abertamente.
- No seu servidor há cópias de segurança desprotegidas, ficheiros
.envou diretórios que qualquer pessoa pode abrir.
O último ponto é uma fuga sem ataque: quem coloca um ficheiro de cópia de segurança no diretório web torna os dados acessíveis sem qualquer hack. Também isso pode estar sujeito a notificação.
O que fazer já
- Registar o momento: anote quando e como tomou conhecimento da suspeita. Esse momento é importante para os prazos.
- Limitar o acesso: retire temporariamente da rede, ou ponha em modo de manutenção, as áreas afetadas, por exemplo a conta de cliente ou as funções de exportação, se puderem continuar a sair dados.
- Preservar os vestígios: não altere os registos do servidor, a base de dados nem o sistema de ficheiros. Peça ao fornecedor de alojamento que conserve os registos.
- Envolver o encarregado da proteção de dados: informe internamente a pessoa responsável ou um encarregado da proteção de dados externo, para que o prazo de notificação se mantenha à vista.
- Esclarecer os tipos de dados afetados: o que está no sistema? Dados mestres de clientes, encomendas, dados de saúde ou de pagamento, candidaturas?
- Alterar acessos, mas de forma articulada: mude palavras-passe e chaves só depois de acordo e a partir de um dispositivo limpo.
- Informar o segurador e o advogado: muitas apólices exigem uma comunicação precoce.
Como ajuda concretamente a PHP SOS?
- Levantar a situação: esclarecemos consigo que sistemas e tipos de dados podem estar afetados e quando surgiu a suspeita.
- Preservar e fechar: preservamos registos, base de dados e ficheiros sem os alterar, bloqueamos o acesso do atacante e fechamos caminhos abertos, por exemplo cópias de segurança desprotegidas.
- Verificar e limpar: analisamos acessos, consultas à base de dados e ligações, procuramos webshells e backdoors e removemo-los. Quando necessário, recorremos a parceiros de perícia forense informática com valor em tribunal.
- Reforçar e relatar: recebe uma cronologia, uma afirmação sobre os dados provavelmente afetados, claramente separada em comprovado, provável e desconhecido, e recomendações para uma proteção duradoura.
Trabalhamos remotamente, sem deslocações, em toda a Alemanha e na Europa.
Prazo de notificação: o que o RGPD exige e o que contribuímos
Nos termos do Art. 33 do RGPD, uma violação da proteção de dados pessoais tem, em princípio, de ser notificada à autoridade de controlo sem demora injustificada, sempre que possível no prazo de 72 horas após ter tido conhecimento dela, se for provável que implique um risco para os titulares. Isto é uma informação geral, não aconselhamento jurídico. Se e o que tem de comunicar, decide-o com o seu encarregado da proteção de dados ou com um advogado.
A nossa contribuição é o lado técnico: o que aconteceu, que sistemas foram afetados, que tipos de dados lá se encontravam, durante quanto tempo o acesso esteve aberto, o que foi feito? Uma notificação que se baseia em factos comprovados e não em suposições defende-se melhor. Uma panorâmica das obrigações dá-a a página sobre o dever de notificação do RGPD em 72 horas. Um incidente não fica mais pequeno com o tempo; quem notifica cedo e documenta com rigor leva vantagem.
Preservar provas e abordar corretamente os titulares
O maior perigo depois de uma fuga é o reflexo de reparar tudo depressa. Um servidor acabado de montar é bonito, mas já não prova nada. Como proceder sem destruir vestígios, descreve-o Preservar provas antes da reinstalação. A sequência dos acontecimentos pode depois ser registada numa cronologia do incidente.
Se os clientes ou parceiros tiverem de ser informados, contam palavras claras e objetivas. Dão sugestões Informar os clientes após um incidente e a página sobre a comunicação de crise. Se uma queixa-crime faz sentido, esclareça-o com o seu advogado; encontra indicações sobre os pontos de contacto em Queixa à polícia. Se o incidente se alargar a vários sistemas, passamos em conjunto a uma resposta a incidentes estruturada.
O que nos deve enviar
- uma breve descrição: quando reparou em algo, por quem, em quê?
- os tipos de dados que estão no site ou no servidor
- acessos ao servidor ou autorização para falarmos diretamente com o seu fornecedor de alojamento
- indicações sobre cópias de segurança, exportações e interfaces com outros sistemas
- nomes da agência e dos programadores que conhecem o sistema
- nome do encarregado da proteção de dados, se existir
Porquê a PHP SOS
Trabalhamos com qualidade Made in Germany e, há mais de 25 anos, estamos especializados em segurança informática com a nossa rede de parceiros de profissionais de cibersegurança. Tem um interlocutor, tudo é documentado e dizemos abertamente o que se consegue comprovar e o que não. Não prometemos nenhuma reconstrução se faltarem os registos, nem aconselhamento jurídico. Fornecemos os factos técnicos com que você e os seus consultores podem decidir.
Está afetado? Ligue-nos. Nós ajudamos.
Perante uma possível fuga de dados, corre um prazo e os vestígios desaparecem a cada dia. Contacte-nos agora: ligue ou escreva-nos por WhatsApp. Assumimos o caso desde a primeira mensagem e ficamos até o incidente estar encerrado e documentado. Comunicar já uma emergência
Perguntas frequentes
Com que rapidez tenho de comunicar uma fuga de dados?
Nos termos do Art. 33 do RGPD, uma violação de dados com risco para os titulares tem, em princípio, de ser comunicada à autoridade de controlo sem demora injustificada e, sempre que possível, no prazo de 72 horas após ter tido conhecimento dela. Se isso se aplica ao seu caso, esclareça-o com o seu encarregado da proteção de dados ou com um advogado.
Como sei se os dados saíram mesmo?
Muitas vezes só através da análise dos registos do servidor, dos acessos à base de dados e das ligações de saída. Se esses vestígios faltarem, a fuga não se pode nem comprovar nem excluir. Indicamo-lo abertamente no relatório como desconhecido.
Tenho de informar os meus clientes?
Depende do risco para os titulares. Se for elevado, também têm de ser notificados nos termos do RGPD. A avaliação jurídica pertence aos encarregados da proteção de dados ou ao advogado; nós fornecemos a base técnica para isso.
O que acontece se só mais tarde me aperceber de que os dados desapareceram?
O que conta é quando tomou conhecimento da violação. Registe quando e como surgiu a suspeita e preserve os vestígios a partir desse momento.
Também podem ajudar se os dados estavam num prestador de serviços?
Verificamos o que podemos esclarecer com os acessos e as informações que obtiver. Articulamo-nos com a agência ou com o fornecedor de alojamento depois da sua autorização.