“Vi ved, hvad du så.”
Den besked kan 201 millioner Pornhub-brugere nu risikere at modtage.
Hackergruppen ShinyHunters har stjålet søgehistorik, videonavne, tidspunkter og lokationsdata fra Pornhubs betalende brugere. Hackerne kræver løsesum i Bitcoin. Ellers offentliggør de data.
Men her er det interessante: Pornhub selv blev ikke hacket.
Det gjorde deres tidligere analyseleverandør Mixpanel. En leverandør, Pornhub stoppede med at bruge i 2021.
Fire år senere ligger deres kunders data alligevel i hænderne på kriminelle.
Tredjepartsrisiko i rendyrket form
En leverandør, du stoppede med at bruge for år siden, kan stadig have dine kunders data liggende. Og hvis den leverandør bliver hacket, er det dit problem. Dine kunders problem. Dit omdømme, der er på spil.
Under GDPR er du som dataansvarlig ansvarlig for, at dine databehandlere håndterer persondata korrekt. Også når samarbejdet er slut. Også når du har glemt, at de overhovedet eksisterer.
Det er her, mange virksomheder har en blind vinkel. De har styr på de aktive leverandører, men glemmer dem, de sagde farvel til for tre, fem eller ti år siden. Hvad skete der egentlig med de data? Blev de slettet? Eller ligger de stadig på en server et sted og venter på at blive kompromitteret?
Konsekvenserne er allerede synlige i Danmark
Anmeldelser om sextortion er tredoblet på fem år. Fra 529 i 2020 til 1.768 i 2024. Bag tallene gemmer sig et stort mørketal, fordi skam holder folk fra at anmelde.
Omkring 234.000 danskere udsættes årligt for digital afpresning. 70 procent af ofrene er mænd. Afpresserne truer typisk med at sende intimt materiale til familie, venner og kolleger, hvis der ikke betales.
Og intime data er guld værd for afpressere.
Ashley Madison-hacket i 2015 førte til årelange afpresningskampagner mod brugerne. Mindst to begik selvmord.
ShinyHunters er ikke amatører
Gruppen står bag hacket af Ticketmaster og 110 millioner AT&T-kunder. De samarbejder tæt med Scattered Spider, gruppen bag angrebene på M&S, Co-op og Harrods tidligere i år.
Deres forretningsmodel er enkel: Stjæl data. Afpres virksomheden. Hvis de ikke betaler, sælges data på det mørke internet, hvor andre kriminelle kan købe det til yderligere afpresning.
Det er en industri. Og dine kunders data er råvaren.
Tre ting du bør gøre nu
Kortlæg dine leverandører. Hvem har adgang til kundedata? Også tidligere leverandører. Hvad sker der med data, når samarbejdet ophører? De fleste virksomheder kan ikke svare på det spørgsmål uden at grave i gamle kontrakter og mails.
Kræv dokumenteret sletning. Når et leverandørforhold slutter, skal data slettes eller returneres. Få det på skrift. Følg op. Stol ikke på mundtlige aftaler. En databehandleraftale, der ikke håndhæves, er papir uden værdi.
Gennemgå databehandleraftaler. Under GDPR er du ansvarlig for dine leverandørers håndtering af persondata. Mangler du aftaler med gamle leverandører, er du eksponeret. Og det er ikke kun et compliance-problem. Det er en reel risiko for dine kunder.
En ubehagelig sandhed
Pornhub-sagen viser noget, de fleste helst vil ignorere: Du kan have styr på din egen sikkerhed. Men hvis bare én af dine leverandører fejler, betaler dine kunder prisen.
Et leverandøraudit kortlægger, hvem der har adgang til jeres data, hvilke aftaler der er på plads, og hvor hullerne er. Ikke kun hos de leverandører, I bruger i dag, men også dem, I har glemt.
En cybersikkerhedsaudit giver jer det samlede billede af, hvor I er eksponeret, og hvad I bør gøre ved det.
Hvornår gennemgik du sidst, hvad dine gamle leverandører stadig har liggende om dine kunder?
Har du brug for at få overblik over jeres leverandørrisiko? Kontakt Nielco IT på telefon 70 13 63 23 eller via kontaktformularen.
