Oszuści chcą przejąć dane o kamerach

Cyberprzestępcy rozsyłają fałszywe wiadomości w imieniu Urzędu Ochrony Danych Osobowych. Proszą firmy instalujące monitoring o szczegółowe informacje o kamerach i ich użytkownikach.

UODO ostrzega, że nie wysłał takich pism i nie zbiera tych danych.

O kampanii poinformował UODO zespół CSIRT GOV. Fałszywe wezwania trafiają do przedsiębiorstw zajmujących się instalacją monitoringu wizyjnego. Nadawcy proszą o przygotowanie zestawienia instalacji wykonanych w ciągu ostatnich 12 miesięcy.

W wiadomości oszuści żądają między innymi danych kontaktowych użytkowników końcowych, dokładnej lokalizacji kamer, ich adresów IP i numerów seryjnych, a także informacji o modelu urządzenia oraz wersji jego oprogramowania. Formularz ma zostać odesłany w pliku XLSX w ciągu siedmiu dni roboczych. Pismo zawiera również sformułowanie, że jest „urzędowym wezwaniem UODO”.

Treść może wyglądać wiarygodnie. Przestępcy powołują się na przepisy RODO i wykorzystują niemal poprawne dane teleadresowe Urzędu. Zebrane informacje mogą pomóc im ustalić, gdzie działają kamery i czy korzystają z nieaktualnego oprogramowania. W niektórych przypadkach mogą też ułatwić przejęcie urządzeń, zwłaszcza jeśli nie zmieniono ich fabrycznych ustawień.

UODO nie wysyła takich wezwań

Urząd podkreśla, że nie wysyłał opisanej wiadomości, nie rozsyła podobnych ankiet w formie urzędowego wezwania i nie zbiera danych o instalacjach monitoringu.

Jeśli UODO prowadzi postępowanie i potrzebuje dodatkowych informacji, korespondencja zawiera jego sygnaturę oraz dane kontaktowe właściwego departamentu. Urząd komunikuje się w takich sprawach tradycyjną pocztą, przez ePUAP lub e-Doręczenia.

UODO przypomina też, że ewentualne działania dotyczące realizacji obowiązków wynikających z RODO są zapowiadane na stronie internetowej Urzędu. Takie pytania kierowane są do administratorów danych, a udział w ankietach ma charakter dobrowolny.

Użytkownicy, którzy otrzymają podejrzaną wiadomość, powinni sprawdzić, czy rzeczywiście pochodzi od instytucji wskazanej jako nadawca. Nie należy otwierać załączników ani przekazywać danych urządzeń, lokalizacji i ich użytkowników bez potwierdzenia autentyczności prośby.