Zagubiony dysk z danymi 10,9 mln klientów. Dlaczego fizyczne zabezpieczenia wciąż zawodzą?
Japoński dostawca energii zgubił przenośny dysk z danymi ponad 10 milionów klientów. Analizujemy, jak do tego doszło i jakie wnioski dla firm płyną z tego zdarzenia.
Fizyczne nośniki danych wciąż stanowią słaby punkt w wielu organizacjach. Potwierdza to incydent, o którym poinformował japoński dostawca energii Kyushu Electric Power Co., Inc. Z serwerowni zniknął zewnętrzny dysk, a na nim znajdowały się dane osobowe 10,9 miliona klientów.
Co wiadomo o incydencie u japońskiego dostawcy energii?
Z oficjalnego komunikatu firmy wynika, że do zdarzenia doszło w wyniku splotu rutynowych działań i zaniedbań. 27 kwietnia 2026 roku personel IT, zarządzający pojemnością serwerów, wykonał kopię zapasową na zewnętrznym dysku. Nośnik przechowano w szafie w serwerowni, która według zapewnień firmy była zabezpieczona na wielu poziomach fizycznej ochrony.
Dramat rozegrał się 26 maja, gdy pracownicy przyszli odebrać dysk. „Odkryli, że szafa pozostawała otwarta, a dysk zniknął” – podaje BleepingComputer, cytując komunikat Kyushu Electric. Firma natychmiast przesłuchała 57 osób mających dostęp do serwerowni i przeprowadziła wewnętrzne dochodzenie, ale dysku nie odnaleziono. 4 czerwca sprawę zgłoszono policji.
Jakie dane wyciekły i jakie niosą ryzyko?
Utracony nośnik zawierał zestaw danych wystarczający do kradzieży tożsamości lub przeprowadzenia precyzyjnych ataków phishingowych. Firma potwierdziła, że na dysku znajdowały się:
- imiona i nazwiska klientów,
- adresy miejsc świadczenia usług,
- dane o zużyciu energii elektrycznej,
- numery telefonów,
- nazwy sprzedawców energii detalicznej.
Kyushu Electric wyraźnie zaznaczyła, że na dysku nie było danych bankowych ani numerów kart kredytowych, co nieco ogranicza potencjalne straty finansowe. Jednak w połączeniu z nazwą firmy i numerem telefonu adres i imię to gotowy zestaw do kampanii phishingowej „na energetykę”. Taki atak mógłby być szczególnie groźny, gdyby przestępcy podszywali się pod pracownika firmy i próbowali wyłudzić kolejne dane lub nakłonić ofiarę do instalacji złośliwego oprogramowania.
Fizyczne zabezpieczenia – czy systemy alarmowe wystarczą?
Incydent w Kyushu Electric pokazuje, że nawet wielowarstwowa ochrona fizyczna nie jest nieprzepuszczalna, jeśli zabraknie nadzoru nad procedurami. Firma obiecała indywidualnie powiadomić poszkodowanych klientów. Japońskie Ministerstwo Gospodarki, Handlu i Przemysłu nakazało spółce przedstawienie pełnego raportu do 8 lipca 2026 roku, wraz ze szczegółowym planem naprawczym.
Dla firm w Polsce i na świecie płynie z tego jasna lekcja: kopie zapasowe na przenośnych nośnikach wymagają szczególnej kontroli. Szyfrowanie dysków powinno być standardem, a dziennik dostępu do serwerowni – regularnie audytowany. Co więcej, samo przechowywanie nośnika w zamkniętej szafie nie wystarczy, jeśli procedury nie wymagają potwierdzenia, że szafa została faktycznie zamknięta i zapieczętowana.
Jak się chronić? Praktyczne zalecenia
- Szyfruj nośniki wymienne. Nawet jeśli dysk wpadnie w niepowołane ręce, dane będą nieczytelne bez klucza.
- Stosuj zasadę minimalizacji danych. Do kopii zapasowej nie musi trafiać pełen zestaw danych wrażliwych – można je pseudonimizować.
- Wprowadź fizyczne pieczęcie i rejestr otwarć. Szafy i skrzynie powinny mieć plomby, których zerwanie jest od razu widoczne.
- Szkol personel. Pracownicy muszą wiedzieć, że pozostawienie otwartej szafy z danymi to poważne naruszenie bezpieczeństwa.
Incydent z Japonii to nie odosobniony przypadek. W wielu organizacjach fizyczne nośniki wciąż traktowane są po macoszemu, a konsekwencje mogą być dotkliwe – od kar finansowych po utratę zaufania klientów. Warto sprawdzić własne procedury, zanim to my znajdziemy się w centrum uwagi z powodu „zgubionego dysku”.
