FTC einigte sich mit Ascension, nachdem 24 Mio. Hypothekendateien ein Jahr lang online offenlagen

Am 2022-01-05 berichtete TechCrunch, dass die FTC eine Einigung mit Ascension genehmigt hatte, einer in Texas ansässigen Firma für Hypothekendatenanalyse, wegen eines Sicherheitsversäumnisses aus dem Jahr 2019, das Millionen sensibler Hypothekendokumente offenlegte. Die Offenlegung ging auf OpticsML zurück, einen in New York ansässigen Dienstleister, den Ascension beauftragt hatte, schriftliche Dokumente in maschinenlesbaren Text umzuwandeln, und der die Datenbank für jeden offen ließ, der ihre IP-Adresse kannte.

Der offengelegte Bestand umfasste etwa 24 Millionen Datensätze: Namen, Geburtsdaten, Sozialversicherungsnummern, Bankkontoinformationen, Darlehensvereinbarungen, Kreditunterlagen und Führerscheinnummern. Die FTC erklärte, mehr als 60.000 Amerikaner seien betroffen gewesen, und die Datenbank sei etwa ein Jahr lang offen gewesen, während über 50 Mal darauf zugegriffen wurde, überwiegend von Computern, die offenbar in Russland und China standen.

Zwei Kommissare widersprachen öffentlich: Rebecca Kelly Slaughter argumentierte, die Beschwerde „erhebe nur den Vorwurf eines Regelverstoßes“ und reiche nicht aus, um Anklagen zu erheben, und Rohit Chopra kritisierte die Einigung mit Ascension statt mit dessen Muttergesellschaft Rocktop Partners, weil die Einigung „das Ziel verfehlt, das verantwortliche Unternehmen zu benennen“. FTC-Vorsitzende Lina Khan nahm nicht teil, da sie erst nach der Beschwerde hinzukam.

24 Mio. Datensätze offengelegt mit Namen, SSNs und Bankdaten; mehr als 60.000 Amerikaner betroffen; auf die Datenbank wurde über 50 Mal zugegriffen, überwiegend aus Russland und China

Ascension übergab sensible Hypothekendateien an einen Dienstleister, ohne die Datensicherungsmaßnahmen des Dienstleisters sicherzustellen

Die offengelegte Datenbank erforderte kein Passwort und blieb etwa ein Jahr lang offen

Dutzende Zugriffe, viele aus dem Ausland, blieben unbemerkt, während die Finanzen von Millionen Amerikanern offenlagen

Die offene Datenbank Ihres Dienstleisters ist Ihre Datenschutzverletzung — die Weitergabe regulierter Daten entlang einer Kette ohne Durchsetzung der Safeguard Rule endet in einer FTC-Anordnung

Stand 2022-01-05 unterlag Ascension einer FTC-Anordnung, seine eigenen und die Sicherheitspraktiken seiner Dienstleister zu beheben, ohne Geldstrafe, und Kritiker innerhalb der FTC drängten weiterhin auf Anklagen gegen die Muttergesellschaft.