Kort sagt: Misstänker ni att data har läckt ut via er webbplats är tiden den avgörande faktorn. Berörs ni, hör av er direkt. Vi säkrar spåren på distans, klarlägger tekniskt vilka uppgifter som kan vara berörda, stänger åtkomsten och levererar en hållbar dokumentation för dataskyddsombud, jurist och försäkringsbolag.
Radera ingenting och installera inte om något nu. Loggar, databas och filer är de enda bevisen för vad som har läckt ut och vad som inte har gjort det. Den som skriver över dem kan senare inte belägga något. Anmäl nödläge, så tar vi över från första meddelandet.
Berörs ni? Så känner ni igen en dataläcka via webbplatsen
Ett dataläckage sker ofta obemärkt. Ledtrådarna kommer oftast av biverkningar:
- Kunder rapporterar att uppgifter som bara ni hade dyker upp på annat håll, eller att de får nätfiskemejl med korrekta beställningsuppgifter.
- Databasen belastas påfallande hårt, eller exporter och dumpar ligger på platser där ni inte har lagt dem.
- I loggarna syns massförfrågningar mot kundlistor, beställningar eller användarprofiler, ofta i jämn takt.
- Er server upprättar utgående förbindelser till adresser som ni inte känner till, eller överför ovanligt mycket data.
- Det finns nya adminkonton, ändrade lösenord eller inloggningar vid ovanliga tider.
- En säkerhetsforskare, en journalist eller en myndighet gör er uppmärksam på öppet nåbara uppgifter.
- På er server ligger oskyddade säkerhetskopior,
.env-filer eller kataloger som vem som helst kan anropa.
Den sista punkten är en läcka utan angrepp: Den som lägger en säkerhetskopia i webbkatalogen gör uppgifter åtkomliga utan någon hackning alls. Även det kan vara anmälningspliktigt.
Det här gör ni direkt
- Anteckna tidpunkten: Notera när och hur ni fick veta om misstanken. Den tidpunkten är viktig för fristerna.
- Begränsa åtkomsten: Ta berörda områden, till exempel kundkonto eller exportfunktioner, tillfälligt offline eller i underhållsläge om data fortfarande kan läcka ut.
- Säkra spåren: Ändra inte serverloggar, databas och filsystem. Be webbhotellet bevara protokoll.
- Koppla in dataskyddsombudet: Informera internt den ansvariga personen eller ett externt dataskyddsombud, så att anmälningsfristen hålls under uppsikt.
- Klarlägg berörda uppgiftstyper: Vad finns på systemet? Kunduppgifter, beställningar, hälso- eller betalningsuppgifter, ansökningar?
- Byt åtkomster, men samordnat: Byt lösenord och nycklar först efter överenskommelse och från en ren enhet.
- Informera försäkringsbolag och jurist: Många försäkringar kräver en tidig anmälan.
Hur hjälper PHP SOS konkret?
- Kartlägga läget: Vi klarlägger med er vilka system och uppgiftstyper som kan vara berörda och när misstanken uppstod.
- Säkra och stänga: Vi säkrar loggar, databas och filer oförändrade, spärrar angriparens åtkomst och stänger öppna vägar, till exempel oskyddade säkerhetskopior.
- Granska och rensa: Vi analyserar åtkomster, databasfrågor och förbindelser, söker webshells och bakdörrar och tar bort dem. Vid behov kopplar vi in partner för rättssäker IT-forensik.
- Härda och rapportera: Ni får en tidslinje, ett uttalande om de sannolikt berörda uppgifterna, tydligt åtskilda som belagt, sannolikt och okänt, samt rekommendationer för varaktigt skydd.
Vi arbetar på distans, utan resor, i hela Europa.
Anmälningsfrist: vad GDPR kräver och vad vi bidrar med
Enligt art. 33 GDPR ska ett intrång i skyddet av personuppgifter i princip anmälas till tillsynsmyndigheten utan onödigt dröjsmål, om möjligt inom 72 timmar efter att det blivit känt, om det sannolikt innebär en risk för de berörda. Det är allmän information, ingen juridisk rådgivning. Om och vad ni måste anmäla beslutar ni tillsammans med ert dataskyddsombud eller en jurist.
Vårt bidrag är den tekniska sidan: Vad hände, vilka system berördes, vilka uppgiftstyper fanns där, hur länge var åtkomsten öppen, vad har gjorts? En anmälan som bygger på belagda fakta i stället för antaganden är lättare att stå för. En översikt över skyldigheterna ger sidan om anmälningsskyldighet inom 72 timmar enligt GDPR. En incident blir inte mindre med tiden; den som anmäler tidigt och dokumenterar rent har fördelen.
Säkra bevis och tala med de berörda på rätt sätt
Den största faran efter en läcka är reflexen att snabbt reparera allt. En nyinstallerad server är fin men bevisar ingenting längre. Hur ni går tillväga utan att förstöra spår beskrivs i Säkra bevis före nyinstallation. Händelseförloppet kan därefter fastläggas i en tidslinje över incidenten.
Måste kunder eller partner informeras gäller det med tydliga, sakliga ord. Idéer ger Informera kunder efter en incident och sidan om krishantering. Om en polisanmälan är meningsfull klarlägger ni med er jurist; anvisningar om kontaktpunkterna finns under Anmälan till polisen. Sprider sig incidenten till flera system går vi tillsammans över till strukturerad incidenthantering.
Det här bör ni skicka till oss
- en kort beskrivning: När märkte ni något, genom vem, på vad?
- de uppgiftstyper som finns på webbplatsen eller servern
- åtkomster till servern eller tillstånd att tala direkt med ert webbhotell
- uppgifter om säkerhetskopior, exporter och gränssnitt till andra system
- namn på byrå och utvecklare som känner till systemet
- dataskyddsombudets namn, om ett sådant finns
Varför PHP SOS
Vi arbetar Made in Germany och är sedan över 25 år, tillsammans med vårt partnernätverk av cyberproffs, specialiserade på IT-säkerhet. Ni har en kontaktperson, allt dokumenteras, och vi säger öppet vad som går att belägga och vad som inte gör det. Vi lovar ingen rekonstruktion om loggarna saknas, och ingen juridisk rådgivning. Vi levererar de tekniska fakta som ni och era rådgivare kan fatta beslut utifrån.
Berörs ni? Ring oss. Vi hjälper er.
Vid en möjlig dataläcka löper en frist, och spåren försvinner för varje dag. Hör av er nu: Ring eller skriv via WhatsApp. Vi tar över från första meddelandet och är med tills incidenten är avslutad och dokumenterad. Anmäl nödläge nu
Vanliga frågor
Hur snabbt måste jag anmäla en dataläcka?
Enligt art. 33 GDPR ska en personuppgiftsincident med risk för de berörda i princip anmälas till tillsynsmyndigheten utan onödigt dröjsmål och om möjligt inom 72 timmar efter att den blivit känd. Om det gäller i ert fall klarlägger ni med ert dataskyddsombud eller en jurist.
Hur vet jag om data verkligen har läckt ut?
Ofta bara genom analys av serverloggar, databasåtkomster och utgående förbindelser. Saknas dessa spår går läckaget varken att belägga eller utesluta. Det anger vi öppet som okänt i rapporten.
Måste jag informera mina kunder?
Det beror på risken för de berörda. Är den hög ska de enligt GDPR också underrättas. Den juridiska bedömningen hör hemma hos dataskyddsombud eller jurist; vi levererar den tekniska grunden till det.
Vad händer om jag märker först senare att data är borta?
Avgörande är när ni fick kännedom om incidenten. Anteckna när och hur misstanken uppstod, och säkra spåren från och med den tidpunkten.
Kan ni hjälpa även om uppgifterna låg hos en leverantör?
Vi undersöker vad vi kan klarlägga med de åtkomster och besked ni får. Med byrån eller webbhotellet samordnar vi efter ert godkännande.