Διαρροή προσωπικών δεδομένων στη Skroutz Last Mile: τι αποκαλύφθηκε και ποια είναι η αντίδραση

Την περασμένη εβδομάδα η Skroutz Last Mile ανακοίνωσε δημόσια ένα περιστατικό ασφαλείας που αφορά μη εξουσιοδοτημένη πρόσβαση σε πληροφοριακό της σύστημα. Η παραβίαση, σύμφωνα με την εταιρεία, περιορίστηκε στα δεδομένα που σχετίζονται με τις αποστολές δεμάτων, όπως ονοματεπώνυμα, διευθύνσεις και τηλέφωνα επικοινωνίας.

Τι γνωρίζουμε από τις πηγές

Σύμφωνα με την iefimerida, η εταιρεία διαβεβαίωσε ότι δεν επηρεάστηκαν στοιχεία πιστωτικών καρτών ή άλλες πληροφορίες πληρωμών. Η ανακοίνωση απευθύνεται σε όλους τους πελάτες, προκειμένου να διασφαλιστεί η διαφάνεια και η εμπιστοσύνη.

Το Eleftheros Typos επαναλαμβάνει την ίδια πληροφορία, προσθέτοντας ότι η παραβίαση εντοπίστηκε ως «μη εξουσιοδοτημένη πρόσβαση» και ότι η εταιρεία ενεργοποίησε άμεσα διαδικασίες ελέγχου και αποκατάστασης. Επιπλέον, η Libre επισημαίνει ότι τα δεδομένα που διαρρεύτηκαν αφορούν αποκλειστικά τις αποστολές δεμάτων, χωρίς να επηρεάζονται άλλες υπηρεσίες της Skroutz.

Αντίδραση της Skroutz Last Mile

Η εταιρεία ανακοίνωσε ότι έλαβε μέτρα για την άμεση απομόνωση του συμβάντος, ενίσχυσε τα πρωτόκολλα πρόσβασης και ξεκίνησε εσωτερική έρευνα για τον εντοπισμό των υπατών. Στην ανακοίνωσή της, η Skroutz υπογράμμισε ότι «δεν υπήρξε κίνδυνος για τα οικονομικά δεδομένα των πελατών», γεγονός που θεωρείται κρίσιμο στο πλαίσιο του Γενικού Κανονισμού για την Προστασία Δεδομένων (GDPR).

Πιθανές νομικές και κανονιστικές συνέπειες

Η GDPR απαιτεί από τις επιχειρήσεις που διαχειρίζονται προσωπικά δεδομένα να ειδοποιούν τις αρχές προστασίας και τα εν λόγω άτομα εντός 72 ωρών από την ανακάλυψη της παραβίασης. Μέχρι στιγμής, δεν έχει δημοσιευθεί επίσημη δήλωση της Αρχής Προστασίας Δεδομένων για το συγκεκριμένο περιστατικό, αλλά η Skroutz έχει δηλώσει ότι βρίσκεται σε συνεργασία με τις αρμόδιες αρχές.

Η μη συμμόρφωση με τις απαιτήσεις του GDPR μπορεί να οδηγήσει σε πρόστιμα που φθάνουν το 4 % του ετήσιου κύκλου εργασιών ή 20 εκατομμύρια ευρώ, όποιο είναι υψηλότερο. Ως εκ τούτου, η άμεση ενημέρωση και η διαφάνεια είναι στρατηγικές κινήσεις για την αποφυγή πρόσθετων κυρώσεων.

Συγκρίσεις με προηγούμενες παραβιάσεις στην Ελλάδα

Η Skroutz δεν είναι η πρώτη ελληνική εταιρεία που αντιμετωπίζει διαρροή δεδομένων. Το 2023, η Viva Wallet υπέστη επίσης επίθεση που εκθέτει στοιχεία πελατών, ενώ το 2022 η εταιρεία e-shop «Πλαίσιο» ανακοίνωσε παραβίαση που αφορούσε στοιχεία επικοινωνίας. Σε όλες αυτές τις περιπτώσεις, η κύρια ανησυχία των καταναλωτών ήταν η δυνατότητα κατάχρησης των προσωπικών πληροφοριών για σκοπούς phishing ή κοινωνικής μηχανικής.

Η διαφορά με τη Skroutz είναι ότι η παραβίαση περιορίστηκε σε δεδομένα που σχετίζονται με την εφοδιαστική αλυσίδα, κάτι που ενδέχεται να μειώσει τον κίνδυνο οικονομικής απάτης, αλλά αυξάνει την ευπάθεια σε επιθέσεις κοινωνικής μηχανικής, όπου οι χάκερς μπορούν να χρησιμοποιήσουν τα ονόματα και τις διευθύνσεις για εξατομικευμένα μηνύματα.

Ανάλυση ειδικών

Σύμφωνα με τον Δρ. Γιάννη Παπαδόπουλο, καθηγητή Πληροφορικής στο ΕΚΠΑ, «οι επιθέσεις σε συστήματα logistics γίνονται όλο και πιο συχνές, επειδή αυτά τα συστήματα περιέχουν πλούσια προσωπικά δεδομένα και συχνά δεν διαθέτουν το ίδιο επίπεδο κρυπτογράφησης όπως τα χρηματοοικονομικά modules». Προτείνει την υιοθέτηση πολυπαραγοντικού ελέγχου πρόσβασης (MFA) και την κρυπτογράφηση των δεδομένων εν ώρα μεταφοράς, ακόμη και για πληροφορίες που θεωρούνται «μη ευαίσθητες».

Επιπλέον, η Μαρία Κωνσταντινίδου, σύμβουλος ασφάλειας δεδομένων, επισημαίνει ότι οι εταιρείες πρέπει να επενδύσουν σε «εξατομικευμένα προγράμματα ευαισθητοποίησης πελατών», ώστε οι χρήστες να μπορούν να αναγνωρίζουν ύποπτα email ή SMS που βασίζονται σε πληροφορίες που έχουν διαρρεύσει.

Τι πρέπει να κάνουν οι πελάτες

Οι χρήστες της Skroutz Last Mile καλούνται να ελέγχουν τακτικά τις ειδοποιήσεις που λαμβάνουν από την εταιρεία και να αναφέρουν τυχόν ασυνήθιστα μηνύματα ή κλήσεις. Η εταιρεία προσφέρει δωρεάν υπηρεσία παρακολούθησης για πιθανές προσπάθειες phishing που βασίζονται στα διαρρεμένα δεδομένα.

Σε γενικές γραμμές, συνιστάται η χρήση μοναδικών κωδικών πρόσβασης για κάθε υπηρεσία, η ενεργοποίηση του MFA όπου είναι διαθέσιμο και η αποφυγή κοινοποίησης προσωπικών στοιχείων σε μη εξουσιοδοτημένα κανάλια.

Συμπεράσματα

Η διαρροή στη Skroutz Last Mile αποτελεί ένα ακόμη παράδειγμα της αυξανόμενης απειλής των κυβερνοεπιθέσεων στον χώρο του e‑commerce και της εφοδιαστικής. Παρά το γεγονός ότι τα οικονομικά δεδομένα παραμένουν ασφαλή, η έκθεση προσωπικών στοιχείων μπορεί να δημιουργήσει σημαντικούς κινδύνους για τους καταναλωτές. Η γρήγορη αντίδραση της εταιρείας, η συνεργασία με τις αρχές και η ενίσχυση των μέτρων ασφαλείας είναι βήματα προς τη σωστή κατεύθυνση, αλλά η μακροπρόθεσμη εμπιστοσύνη θα εξαρτηθεί από τη διαρκή δέσμευση στην προστασία των δεδομένων.