Milionowa kara dla Bank of America i EY: Kiedy ochrona danych staje się farsą

To był szok, który wstrząsnął branżą finansową: Ernst & Young oraz Bank of America muszą wspólnie zapłacić 2,5 miliona dolarów – ponieważ niewystarczająco zabezpieczyły dane swoich klientów w wyniku największego wycieku danych związanego z atakiem na MOVEit. Kara, którą wielu uważa za śmieszną. Podczas gdy EY i Bank of America teraz nieco lżej sięgają do portfeli, pozostaje pytanie: kto właściwie nas chroni – klientów?
MOVEit: Zegar bombowy w naszym cyfrowym świecie
Wyobraź sobie, że ktoś ukradł nie tylko twój portfel, ale całą twoją tożsamość. Tak właśnie poczuli się miliony poszkodowanych w wyniku ataku na MOVEit. W maju 2023 roku hakerzy wykorzystali lukę w oprogramowaniu MOVEit, narzędziu, które reklamowało się jako zapewniające bezpieczny transfer danych. Nagle zagrożone były nie tylko e-maile i faktury – ale także numery ubezpieczenia społecznego, dane bankowe, wszystko, co czyni człowieka finansowo i prywatnie bezbronnym.
A ofiary? W ich imieniu pozdrawiają Bank of America i EY. Obie firmy korzystały z MOVEit i obie powinny były wiedzieć, co jest zagrożone. Zamiast jednak w porę wzmocnić swoje systemy, czekały – aż było za późno.
Wielkie pytanie: Dlaczego ochrona danych wciąż zawodzi?
EY, jako audytor Bank of America, został oskarżony o niedostateczne potraktowanie ryzyka związanego z MOVEit. Ale to nie jest odosobniony przypadek. Sam Bank of America, jeden z największych na świecie, dysponował wprawdzie środkami bezpieczeństwa – jednak najwyraźniej było ich za mało. Eksperci tylko kręcą głowami: zbyt wiele firm polega na przestarzałych systemach, odwleka aktualizacje lub ignoruje sygnały ostrzegawcze.
Atak na MOVEit mógł zostać powstrzymany. Szybsza łatka, bardziej solidny firewall, odrobinę więcej czujności – i miliony ludzi nie musiałyby teraz walczy



ć o uratowanie swojej tożsamości.
2,5 miliona dolarów: Symboliczny kopniak w brzuch korporacji?
Dla EY i Bank of America kara jest uciążliwa, ale do udźwignięcia. Dla klientów? Zły żart. Żadnej rekompensaty, żadnego zadośćuczynienia – tylko obietnica, że „teraz wszystko będzie lepiej”. Brzmi znajomo? W świecie finansów takie układy są niestety na porządku dziennym. Korporacje płacą, kontynuują działalność jak dotychczas, a koszty spadają na konsumentów.
Tymczasem jedno powinno być jasne: ochrona danych nie jest luksusem, lecz podstawowym obowiązkiem. Jeśli banki i firmy audytorskie zawodzą już przy standardowym oprogramowaniu, jak my, klienci, mamy czuć się bezpiecznie?
Dlaczego organy nadzoru działały tak długo – i kto tak naprawdę jest odpowiedzialny
Minął ponad rok, zanim organy nadzorcze ostatecznie podjęły działania. Rok, w którym przestępcy mogli bezkarnie kradzieć i wykorzystywać dane. Dlaczego? Być może dlatego, że organy nadzoru często są przeciążone. Być może dlatego, że korporacje miały zbyt wiele czasu na wykręcanie się. Albo dlatego, że wymiar sprawiedliwości działa po prostu zbyt wolno.
Ale jedno jest pewne: ta zwłoka ma realne konsekwencje. Dla każdego z nas.
Jedyna nauka płynąca z tej katastrofy? Musimy żądać więcej.
Ten przypadek nie jest odosobniony – to sygnał alarmowy. Branża finansowa, ale także polityka i prawodawcy, muszą wreszcie zrozumieć: ochrona danych nie może być jedynie działaniem marketingowym. Musi być stosowana w praktyce – poprzez rygorystyczne kontrole, wysokie kary i politykę tolerowania zera incydentów.
Ponieważ jedno jest pewne: następny duży atak hakerski nadejdzie. Pytanie tylko, czy tym razem będziemy lepiej przygotowani. Czy pogodzimy się z tym, że korporacje zaniedbują swoje obowiązki – podczas gdy my płacimy rachunek.