Управление уполномоченного по вопросам информации и защиты персональных данных Великобритании (Information Commissioner's Office - ICO) наложило на компанию Advanced Computer Software Group Ltd штраф в сумме 3,07 миллиона фунтов стерлингов (3,95 миллиона долларов). Компания признана виновной в вымогательской кибератаке на Национальную службу здравоохранения Великобритании в августе 2022 года

В результате этой атаки множество учреждений здравоохранения по всей стране, включая 11 станций скорой помощи, столкнулись с серьезными сбоями в работе, кроме того, была допущена утечка персональных данных 79 404 человек - сотрудников и пациентов медицинских учреждений. Расследование инцидента, в котором участвовали специалисты таких авторитетных компаний как Mandiant и Microsoft, установило, что за атакой стояла вымогательская группировка LockBit. А ее причиной стал взлом систем сервис-провайдера Национальной службы здравоохранения - компании Advanced Computer Software Group Ltd. Хакерам удалось проникнуть в ее системы, скомпрометировав учетную запись одного из сотрудников.

В заявлении Управления уполномоченного по вопросам информации и защиты персональных данных сказано, что компания Advanced Computer Software Group Ltd не внедрила достаточные меры защиты, чтобы предотвратить инцидент, повлекший за собой масштабную утечку данных и сбои в работе медицинских учреждений, потенциально угрожавшие здоровью и жизни людей. В частности, компания недостаточно тщательно осуществляла проверку ПО на наличие уязвимостей, несвоевременно обновляла программное обеспечение и не в полном объеме внедрила многофакторную аутентификацию. «Защитные меры Advanced далеко не в полной мере соответствовали тем, которые мы ожидаем от организаций, обрабатывающих столь значительные объемы персональных данных», - заявил глава ICO Джон Эдвардс.

Стоит отметить, что хотя сумма штрафа, наложенного на компанию, достаточно внушительна, она далеко не рекордна. Но в данном случае важен сам прецедент: ICO впервые оштрафовало не организацию, непосредственно собиравшую данные (Национальную службу здравоохранения), а компанию, которая обрабатывала эти данные.