בעקבות פרצת אבטחה חמורה באתר האינטרנט של חברת לולהטק נחשפו פרטים ומידע אישי של לקוחות החברה. לאחר האירוע, פתחה הרשות להגנת הפרטיות בהליך פיקוח על החברה ומצאה ליקויים רבים. הרשות הטילה על החברה קנס בגובה 25 אלף שקלים. בנוסף הונחתה החברה לתיקון הליקויים שנתגלו במסגרת הליך פיקוח.
חברת לולהטק מחזיקה במאגרי מידע של רשויות מקומיות ובמסגרת כך מספקת להן שירותי פיתוח מערכות לבקרה ושליטה לניהול צוותי עבודה, פקחים, מערכות תווי חניה וכדומה. כתוצאה מפרצת האבטחה ניתנה אפשרות גישה למידע אישי של לקוחות החברה שכלל פרטים רבים ובהם שמות פרטיים ומשפחה, כתובת מגורים, מספרי וצילומי תעודות זהות, פרטי בני זוג, בעלות על רכב, תאריכי רישוי, תווי חניה ועוד.
במסגרת אירוע האבטחה, בעת הקלדת רצף תווים בהמשך לכתובת האתר, ניתן היה לגשת לפרטי מידע אודות תושבים במספר רשויות מקומיות, ללא הרשאה. פרטים אלו היו של משתמשים במערכות החברה. הגישה לפרטי המידע התאפשרה בעקבות יכולת גישה למבנה ה-URL באתר, באמצעות קוד המקור של העמוד.
60 מאגרי מידע שונים
ממצאי הפיקוח שביצעה הרשות העלו כי חברת לולהטק לא הפעילה אמצעי הגנה מתאימים, לא נקטה במנגנון אמצעי זיהוי רב-שלבי בעת אירוע האבטחה ולא נקטה בהליך פיתוח מאובטח של האפליקציה, כפי שנדרש בהתאם בתקנות הגנת הפרטיות (אבטחת מידע).
בנוסף, על פי הצהרותיה, חברת לולהטק משמשת כמחזיקה במאגרי מידע של למעלה מ-60 בעלי מאגרי מידע שונים. בהתאם לכך, עומדות לה חובות מוגברות לפי חוק הגנת הפרטיות ובפרט הבטחת הרשאה למורשי גישה, ודיווח שנתי לרשות להגנת הפרטיות אודות רשימת המאגרים שבאחזקתה.
הרשות להגנת הפרטיות קבעה כי החברה הפרה את החובה הכללית המוטלת עליה לאבטחת המידע והטילה כאמור על החברה קנס על סך 25 אלף שקלים. בנוסף, הרשות דרשה מהחברה לבצע שורה של פעולות מתקנות ובהן התאמת רמת אבטחת המידע לדרישות הקבועות בחוק ובתקנות, ביצוע סקר סיכונים במערכותיה ועריכת מבדקי חוסן לתשתיות טרם העלאת שירות או אפליקציה לאוויר.
כמו כן, הרשות דרשה מחברת לולהטק לדווח על התיקונים שביצעה לשם עמידה בחובותיה על פי חוק הגנת הפרטיות ותקנות הגנת הפרטיות (אבטחת מידע), ובכלל זאת, נדרשה החברה לדווח לבעלי מאגרי המידע השונים שבהחזקתה אודות ביצוע חובותיה לפי התקנות. חברת לולהטק עדכנה את הרשות כי הקנס שהוטל עליה שולם, היא ביצעה את הפעולות המתקנות שהתבקשו ואף עדכנה את לקוחותיה בממצאי התחקיר של האירוע.
________________________________________
