Das Jahr 2021 begann mit einem großen Skandal um das Leck brasilianischer DatenDas dfndr-Labor (kleingeschrieben) der Sicherheitsberatung PS Safe identifizierte im Darknet eine riesige Datenbank mit Daten von 220 Millionen Brasilianern, die möglicherweise aus den Systemen von Serasa Experian stammen. Der Procon von São Paulo wurde daraufhin auf das Problem aufmerksam.
Die Komplexität der verfügbaren Informationen würde eine detaillierte Analyse praktisch aller lebenden Brasilianer und vieler Verstorbener ermöglichen, da das Land derzeit nur eine geschätzte Bevölkerung von 209 Millionen hat. CPFs, CNPJs, Wohn- und Geschäftsadressen, geschätztes Einkommen, Vermögen, Telefonnummern und andere sensible Daten können verwendet werden, um Social-Engineering-Betrug, bei denen Kriminelle einen Angriff mit Informationen des Opfers selbst personalisieren und dieses glauben lassen, es handele sich um eine legitime E-Mail, SMS oder Nachricht, da der Absender korrekte Informationen über ihn bereitgestellt hat.
Eine NGO, die sich für den Schutz personenbezogener Daten einsetzt forderte sogar eine Millionenstrafe für Serasa nach dem Leck und Procon-SP forderte die Einleitung einer polizeilichen Untersuchung, und forderte vom Unternehmen Erklärungen. Die Antwort ist endlich eingetroffen, scheint aber nicht viel Licht in den Fall zu bringen.
Mehr Fragen als Antworten
Obwohl Serasa Experian der Hauptverdächtige für das Informationsleck ist, berichtet Procon-SP, dass das Unternehmen eine interne Untersuchung durchführt und dass seine Hinweise – bislang – darauf hindeuten, dass die durchgesickerten Daten nicht von ihm stammen.
Trotz der Antwort ist Procon-SP nicht zufrieden. Serasa spricht zwar von der Einhaltung des Allgemeinen Gesetzes zum Schutz personenbezogener Daten (LGPD), fordert aber mehr Informationen darüber, wie die Transparenz der erhobenen Daten gefördert und wie – und mit wem – diese geteilt werden.
Was mögliche Maßnahmen zum Verbraucherschutz betrifft, so hat die institutionelle Kommunikation auf der Unternehmenswebsite für Procon-SP lediglich präventiven, nicht aber rehabilitativen Charakter. Das Unternehmen erklärt nicht, wie es im Falle eines tatsächlichen Datenlecks reagieren und die Betroffenen schützen oder entschädigen würde.
Laut Fernando Capez, Geschäftsführer von Procon in São Paulo, reagierte Serasa Experian allgemein auf die Meldung der Agentur, und es sei nicht ausgeschlossen, dass das Unternehmen die Quelle des Datenlecks war. Die Agentur wird sich nun mit ihrem Aufsichtsrat treffen, um zu entscheiden, ob eine Geldstrafe verhängt werden soll. Ohne Beweise für Serasas angebliche Beteiligung dürfte dies jedoch schwierig werden.
Der Schaden ist jedenfalls angerichtet – ob Serasa nun betroffen ist oder nicht –, da sich gezeigt hat, dass das Leck legitime Informationen über brasilianische Bürger liefert.
Bild: dem10/Getty Images
