Capital One будет оштрафована за утечку на $80 млн

Финансовая компания Capital One должна будет выплатить штраф в размере $80$ за допущенную в 2019 г. утечку персональных данных более 100 млн клиентов, объявило Управление контролера денежного обращения (Office of the Comptroller of the Currency, OCC), регулирующий орган министерства финансов США. Такую информацию приводит CBS News.

Напомним, что в июле 2019 г. Capital One сообщила, что произошла утечка личной информации 106 млн клиентов (100 млн граждан США и 6 млн граждан Канады). Помимо таких данных, как имена, адреса, номера телефонов, адреса электронной почты, даты рождения и сведения о доходах, в руках хакера оказались около 140 тыс. номеров социального страхования (SSN) и данные около 80 тыс. кредитных карт. Это одна из самых масштабных утечек из финансового сектора за всю историю.

Обвиняемой по делу о взломе сети Capital One проходит 34-летняя Пейдж Томпсон (Page A. Tompson), бывшая сотрудница компании Amazon. Томпсон не признает свою вину, суд над ней еще не начался.

В своем приказе, подписанном в четверг, 6 августа, OCC подчеркивает, что Capital One не позаботилась о защите данных своих клиентов. Так, отмечает регулятор, компании не удалось перейти на эффективные процессы оценки рисков перед тем осуществить миграцию ряда своих сервисов в облако. По оценкам OCC, Capital One имеет недостаточно прочную систему кибербезопасности по меньшей мере с 2015 г.

Управление контролера денежного обращения добавляет, что даже после того как в ходе внутреннего аудита были высказаны опасения по поводу состояния кибербезопасности Capital One, совет директоров компании не принял никаких мер и не призвал руководство к ответу за допущенные нарушения.

Capital One, в свою очередь, заявляет, что за год, прошедший со времени инцидента, ей удалось значительно укрепить направление информационной безопасности, вложив дополнительно существенные средства.

Помимо выплаты штрафа в размере $80 млн, Capital One, в соответствии с приказом OCC, должна создать независимый комитет, который оценит текущий уровень кибербезопасности и определит, есть ли в компании с этим проблемы. Доложить о своем решении комитет должен будет в течение 60 дней.