Slimpay、不正調査用サーバーを数年間公開状態に；CNILが18万ユーロの制裁金

フランスの定期的なSEPA決済を扱う決済機関Slimpayは、2015年に社内の不正対策調査プロジェクトで実際の債務者データを再利用した。プロジェクトが2016年7月に終了した後も、コピーされたデータはアクセス制御のないサーバー上に残り、インターネットから到達可能であった。

2020年2月14日、加盟店の顧客がSlimpayに警告した。CNILの決定によれば、露出した記録は約1200万人の一意の債務者に及び、氏名、連絡先、BIC、IBANが含まれていた。当局はまた、ログ記録の脆弱性と、一部の下流処理業者との契約の不備も認定した。

2021年12月28日、CNILは処理業者との契約、データセキュリティ、および個人への侵害通知に関する不備に対し18万ユーロの制裁金を課した。誤りは調査のアイデア自体ではなく、一時的な実験を管理されていない公開データストアにしてしまったことであった。

CNILは、IBANおよびBICデータを含む約1200万人の一意の債務者のデータがアクセス可能な状態に置かれた後、18万ユーロの制裁金を課した。

不正対策プロジェクトは、最小化または匿名化されたデータセットではなく、実際の決済データを使用していた。

調査作業が終了した際にサーバーが廃止されなかったため、リスクは数年間持続した。

サーバーへのアクセスには十分な制限が課されておらず、CNILは適切なアクセスログ記録も認めなかった。

処理業者の監督は不完全であり、一部の契約には必須のGDPR条項が欠けていた。

テストデータには所有者と終了日が必要である。本番データを使用する調査サーバーは、プロジェクト終了後も本番リスクである。

Slimpayは2020年2月の警告後にサーバーを隔離し、CNILに通知した。公開されたCNILの決定は後に匿名化されたが、CNILの制裁一覧には2021年12月28日の決済機関事件と18万ユーロの制裁金が依然として記録されており、GDPR Enforcement Trackerは同社をSlimpayと特定している。