Szanowni Państwo,

Zgodnie z art. 34 ust. 1 i ust. 2 ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r. (RODO) informujemy, że że w związku z przetwarzaniem danych osobowych przez Profitroom S.A., ul. Franklina Roosevelta 9, 60-829 Poznań, która jest ich Administratorem (dalej “My”) w miesiącu grudniu 2024 r. doszło do naruszenia danych osobowych polegającego na nieuprawnionym uzyskaniu dostępu do informacji przez złamanie zabezpieczeń do konta Google jednego z Naszych pracowników, w konsekwencji czego nastąpiło ujawnienie osobom nieupoważnionym danych osobowych znajdujących się na tym koncie Google (naruszenie poufności). 

• Na czym polegało naruszenie?

W dniu 5 grudnia 2024r. nieuprawniona osoba lub osoby (nie możemy wykluczyć, że osób było więcej, które zalogowały się z jednego adresu IP) zalogowały się na konto Google Naszego pracownika oraz uzyskały dostęp do jego zawartości, w szczególności skrzynki pocztowej i adresów e-mail oraz takich danych osobowych jak: imię, nazwisko, płeć, miejsce pracy, stanowisko, numer telefonu. W dniu 9 grudnia 2024r. przestępcy rozpoczęli wysyłanie wiadomości e-mail z zainfekowanym załącznikiem PDF. Był to rodzaj wiadomości określany mianem phishing, którego celem było przejęcie danych logowania do usług Google.

• Możliwe konsekwencje naruszenia

Ze względu na fakt, że dostęp do konta Google nie wiąże się tylko z dostępem do skrzynki pocztowej, ale też dostępem do kalendarza czy dokumentów roboczych to naszym obowiązkiem jest poinformować, że w związku z tym, iż doszło do wyżej wymienionego naruszenia możliwe jest, że przestępcy weszli w posiadanie Państwa adresu e-mail, numeru telefonu lub innych danych jakie wymieniali Państwo z naszym pracownikiem oraz, że w związku z tym są możliwe negatywne konsekwencje tego zdarzenia w postaci: zakłócania spokoju poprzez wysyłanie niechcianych wiadomości mailowych, w szczególności typu phishing (wiadomości nakłaniające do kliknięcia w zainfekowany link lub pobranie zainfekowanego pliku celem podania przez Państwa np. danych osobowych lub danych logowania itp.) lub niechciane telefony, pozyskanie danych przez nieokreślone osoby do celów przestępczych, wykorzystanie pozyskanych danych do założenia kont internetowych na Państwa dane, wykorzystywanie danych do zawierania umów na Państwa szkodę, próby podszycia się przez inne podmioty lub osoby w celu wyłudzenia od Państwa dodatkowych danych osobowych, defraudacja środków finansowych, rozpowszechnianie danych, zdenerwowanie, irytacja, brak dostępu do usług i danych, a także kradzież tożsamości. 

Wskazane możliwe konsekwencje naruszenia nie muszą, a jedynie mogą wystąpić i zostały wskazane jako możliwe z uwagi na zakres danych osobowych, którego naruszenie dotyczy.

• Środki zastosowane w celu zaradzenia naruszeniu

Na skutek działania systemu bezpieczeństwa udało się przerwać działania przestępców polegające na wysyłaniu z poczty e-mail Naszego pracownika wiadomości typu phishing dlatego mogli Państwo nie widzieć tej wiadomości. Nie oznacza to jednak, że przestępcy nie będą próbowali kontaktować się z Państwem, np. wysyłając wiadomość, której celem będzie wyłudzenie Państwa danych. Prosimy o zachowanie ostrożności.

Wobec zaistniałego naruszenia, zostały wdrożone działania, których celem ma być przede wszystkim zminimalizowanie bądź całkowite wyeliminowanie negatywnych skutków, jakie mogą łączyć się dla Państwa z tym naruszeniem. Wdrożone środki to przede wszystkim: niezwłoczne wdrożenie procedur bezpieczeństwa, w tym m.in. skanowanie, zastosowanie blokad i resetów, zgłoszenie naruszenia do organu nadzorczego Urzędu Ochrony Danych Osobowych.

• Możliwe działania w celu dodatkowego zabezpieczenia się przed negatywnymi konsekwencjami naruszenia

Jeżeli ktoś z Państwa używa i ma dostęp do konta Google zachęcamy by sprawdzać regularnie swój security check-up celem weryfikacji czy nie mają Państwo podejrzanych logowań z urządzeń oraz czy nie mają Państwo alertów security od Google. Szczególnie zachęcamy do włączenia dwuskładnikowego uwierzytelnienia (2FA). 

W celu dodatkowego zabezpieczenia się przed konsekwencjami wskazanymi w pkt. III mogą Państwo podjąć następujące działania: 

• zastosować ostrożność i przed otwarciem pliku lub kliknięciem w link zweryfikować to z nadawcą wiadomości,
• nie podawać żadnych danych logowania lub danych osobowych po kliknięciu w link lub plik z przesłanej wiadomości e-mail, 
• zachować ostrożność w czasie rozmów telefonicznych, 
• zresetować swoje hasła,
• włączyć dwuskładnikowe uwierzytelnianie tam gdzie to możliwe,
• ignorować prośby o podanie danych,
• założyć konto w systemie informacji kredytowej (np. bik.pl) w celu dodatkowego zabezpieczenia swoich danych przed nieuprawnionym wykorzystaniem,
• poinformować Nas niezwłocznie po uzyskaniu informacji o nieuprawnionym wykorzystaniu Państwa danych.

• Kontakt w sprawie bardziej szczegółowej informacji

Informujemy, że więcej informacji o zaistniałym naruszeniu lub wyjaśnieniu jakichkolwiek wątpliwości można uzyskać kontaktując się z Inspektorem Ochrony Danych Osobowych Panią Beatę Marek, e-mail: gdpr@profitroom.com . 

Z poważaniem

Zarząd Profitroom