Slimpay, 수년간 사기 연구 서버를 방치하다; CNIL, 18만 유로 벌금 부과

프랑스의 반복 SEPA 결제를 위한 결제 기관인 Slimpay는 2015년 내부 사기 방지 연구 프로젝트에 실제 채무자 데이터를 재사용했다. 프로젝트가 2016년 7월에 종료되었을 때, 복사된 데이터는 접근 통제가 없는 서버에 남아 있었고 인터넷에서 접근할 수 있었다.

한 가맹점 고객이 2020년 2월 14일 Slimpay에 이를 알렸다. CNIL의 결정에 따르면 노출된 기록은 약 1,200만 명의 고유 채무자를 포함했으며 이름, 연락처 정보, BIC 및 IBAN이 포함되어 있었다. 당국은 또한 로깅이 취약하고 일부 하위 처리업체와의 계약이 부적절하다는 점을 발견했다.

2021년 12월 28일, CNIL은 처리업체 계약, 데이터 보안 및 개인에 대한 침해 통지와 관련된 실패에 대해 18만 유로의 벌금을 부과했다. 잘못은 연구 아이디어 자체가 아니라, 일시적인 실험이 관리되지 않는 공개 데이터 저장소가 되도록 방치한 것이었다.

CNIL은 IBAN 및 BIC 데이터를 포함한 약 1,200만 명의 고유 채무자 데이터가 접근 가능한 상태로 남겨진 후 18만 유로의 벌금을 부과했다.

사기 방지 프로젝트는 최소화되거나 익명화된 데이터셋이 아닌 실제 결제 데이터를 사용했다.

연구 작업이 종료되었을 때 서버가 폐기되지 않아 위험이 수년간 지속되었다.

서버 접근에 만족스러운 제한이 적용되지 않았고, CNIL은 적절한 접근 로깅이 없다고 판단했다.

처리업체 감독이 불완전하여 일부 계약에 필수 GDPR 조항이 누락되어 있었다.

테스트 데이터에는 소유자와 종료일이 필요하다. 운영 데이터를 사용하는 연구 서버는 프로젝트가 종료된 후에도 운영 위험이다.

Slimpay는 2020년 2월 경고 후 서버를 격리하고 CNIL에 통지했다. 공개된 CNIL 결정은 나중에 익명화되었지만, CNIL의 제재 목록에는 여전히 2021년 12월 28일 결제 기관 사건과 18만 유로의 벌금이 기록되어 있으며, GDPR Enforcement Tracker는 해당 회사를 Slimpay로 식별한다.