Breșă de securitate la ANRE: ce s-a întâmplat cu sute de adrese de e-mail

O comunicare transmisă de Autoritatea Națională de Reglementare în domeniul Energiei (ANRE) către persoanele invitate la o dezbatere publică privind normele de aplicare ale Legii Prosumatorului a dus la afișarea adreselor de e-mail ale destinatarilor. Informația a fost făcută publică de Asociația Prosumatorilor și a Comunităților de Energie din România (APCE), care susține că datele au fost introduse în câmpul CC al mesajului.

Breșă de securitate la ANRE: APCE cere explicații după expunerea adreselor de e-mail

Potrivit datelor prezentate de asociație, e-mailul a ajuns la 657 de adrese. Dintre acestea, șapte ar aparține ANRE, în timp ce 536 sunt indicate drept adrese personale, reprezentând aproximativ 82% din total. Printre domeniile menționate se află Gmail și Yahoo, iar destinatarii sunt descriși ca fiind cetățeni, prosumatori și instalatori.

APCE susține că problema a apărut deoarece destinatarii mesajului au putut vedea reciproc adresele de e-mail incluse în comunicare. Asociația consideră că situația reprezintă o breșă de securitate a datelor cu caracter personal.

„Asociația Prosumatorilor și a Comunităților de Energie din România (APCE) semnalează public o breșă de securitate a datelor cu caracter personal produsă în comunicarea ANRE.

În convocarea transmisă pentru dezbaterea publică privind normele de aplicare ale Legii Prosumatorului, ANRE a introdus în câmpul CC adresele de e-mail ale participanților, făcându-le vizibile reciproc tuturor destinatarilor.*

Ce date au fost vizibile în mesaj

În comunicarea prezentată de APCE este precizat că lista a inclus atât adrese profesionale, cât și conturi personale. Asociația afirmă că proporția adreselor private a fost de aproximativ 82%, ceea ce înseamnă că majoritatea contactelor afișate nu au fost adrese instituționale.

În acest context, APCE face referire la regulile privind protecția datelor cu caracter personal și la obligațiile care revin operatorilor de date pentru protejarea informațiilor de contact. Asociația invocă, de asemenea, prevederile GDPR referitoare la securitatea datelor.

„Nu discutăm despre un atac informatic sofisticat. Nu discutăm despre hackeri care au spart sistemele ANRE. Discutăm despre o autoritate publică ce a divulgat ea însăși datele de contact către sute de destinatari, folosind CC în loc de BCC.

DIN PUNCT DE VEDERE GDPR, SITUAȚIA ESTE SERIOASĂ

GDPR definește încălcarea securității datelor cu caracter personal inclusiv ca divulgarea sau accesul neautorizat la date personale. EDPB explică expres că o astfel de breșă poate rezulta și dintr-o simplă eroare umană”, se arată în comunicat.

Asociația face referire și la principiul integrității și confidențialității, precum și la obligația operatorilor de a adopta măsuri tehnice și organizatorice pentru securizarea datelor. În comunicarea citată este menționat faptul că autoritățile europene au considerat trimiterea unor e-mailuri colective cu destinatarii vizibili în CC drept o situație relevantă pentru obligațiile de securitate prevăzute de articolul 32 din GDPR.

Expunerea adreselor private ridică direct problema respectării principiului integrității și confidențialității și a obligației operatorului de a implementa măsuri tehnice și organizatorice adecvate pentru securitatea datelor.

APCE cere clarificări privind incidentul

Unul dintre punctele asupra cărora APCE solicită explicații privește evaluarea incidentului din perspectiva normelor privind protecția datelor. Asociația întreabă dacă ANRE a analizat oficial situația și dacă Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal a fost notificată.

„Iar aici apare întrebarea pe care ANRE trebuie să o lămurească public: A evaluat ANRE oficial această breșă și a notificat ANSPDCP?

APCE susține că expunerea unei liste care conține sute de adrese de e-mail poate avea implicații pentru persoanele vizate. Potrivit comunicării, contactele respective aparțin unor persoane interesate de domenii precum prosumatorii, facturarea, compensarea și energia.

În acest context, asociația indică posibilitatea ca adresele să fie folosite ulterior pentru transmiterea unor mesaje frauduloase sau pentru tentative de phishing. Riscul menționat vizează inclusiv mesaje care ar putea pretinde că provin de la ANRE sau de la furnizori de energie.

„O listă cu sute de adrese aparținând unor persoane interesate de prosumatori, facturare, compensare și energie nu este o informație lipsită de valoare. Poate deveni materie primă pentru phishing, mesaje false în numele ANRE sau al furnizorilor și alte tentative de fraudă”, mai transmite ANRE.

Ce solicită asociația de la ANRE

APCE afirmă că incidentul trebuie clarificat oficial, inclusiv din perspectiva modului în care a fost evaluată situația și a eventualelor măsuri luate după expunerea adreselor. Asociația solicită informații și despre notificarea autorității pentru protecția datelor.

Printre cererile formulate se află confirmarea existenței incidentului, stabilirea momentului în care acesta a fost identificat și precizarea rezultatului evaluării de risc. APCE mai cere informații despre notificarea ANSPDCP și despre comunicarea către persoanele afectate.

„APCE SOLICITĂ PUBLIC ANRE:

• Să confirme oficial existența breșei de securitate și momentul la care a constatat incidentul.
• Să precizeze dacă incidentul a fost înregistrat și evaluat conform GDPR și care a fost rezultatul evaluării de risc.
• Să precizeze dacă ANSPDCP a fost notificată și, dacă da, să comunice data notificării.
• Să informeze persoanele afectate asupra incidentului și asupra eventualelor riscuri de phishing sau fraudă.
• Să explice ce măsuri tehnice și organizatorice au fost introduse pentru ca o asemenea situație să nu se repete”, mai arată ANRE.

APCE anunță că va sesiza ANSPDCP pentru analizarea situației și pentru măsurile legale care ar putea fi dispuse. Asociația afirmă că demersul urmărește examinarea oficială a incidentului de către autoritatea competentă.

„Instituția care cere tuturor să respecte regulile trebuie, înainte de toate, să le respecte ea însăși. APCE va sesiza ANSPDCP pentru ca incidentul să fie analizat de autoritatea competentă si instituirea masurilor legale.

Dan Pîrșan, președintele APCE, susține că organizația va continua demersurile pentru analizarea oficială a situației. Declarația sa face referire atât la expunerea adreselor, cât și la obligațiile pe care autoritățile și ceilalți participanți din sectorul energetic trebuie să le respecte în materia protecției datelor.

„ANRE ne cere conformare până la ultima virgulă, dar nu este în stare să trimită o invitație fără să ne pună datele pe masă în fața a 656 de oameni. O autoritate care nu își respectă propriile obligații legale își pierde autoritatea morală de a le impune altora. Vom merge până la capăt pentru ca acest incident să fie analizat oficial”, a explicat Dan Pîrșan, președinte APCE.