Sự cố gửi email làm lộ thông tin cá nhân của hàng trăm cư dân tại York, Anh
"City of York Council exposed the email addresses of hundreds of Blue Badge holders by sending a mailing list without using BCC, revealing recipients to one another and potentially disclosing their disability-related status. The council activated its data breach process, performed a risk assessment, and reported the incident to the ICO, which later closed the case with advice; no CVE was involved and the fix was procedural rather than a software patch."
Lộ thông tin cá nhân nhạy cảm; rủi ro lộ danh tính và khả năng bị lạm dụng thông tin.
Ảnh hưởng đến uy tín tổ chức và niềm tin của người dân; cần tăng cường quy trình bảo mật dữ liệu.
Hội đồng thành phố York (Anh) đã gặp sự cố rò rỉ dữ liệu cá nhân khi gửi email cập nhật về chương trình Blue Badge cho hàng trăm người dân mà không sử dụng chức năng BCC (Blind Carbon Copy). Điều này khiến toàn bộ danh sách người nhận có thể nhìn thấy địa chỉ email của nhau, gián tiếp tiết lộ tình trạng liên quan đến khuyết tật hoặc hạn chế di chuyển của các cá nhân này.
Ngay sau khi phát hiện sự cố, hội đồng đã kích hoạt quy trình xử lý vi phạm dữ liệu, tiến hành đánh giá rủi ro và thông báo cho Văn phòng Ủy viên Thông tin Anh (ICO). ICO đã tiếp nhận báo cáo và sau khi đánh giá, đã đóng vụ việc với khuyến nghị về quy trình xử lý. Không có lỗ hổng phần mềm (CVE) nào liên quan; biện pháp khắc phục chủ yếu là quy trình vận hành.
Hội đồng cũng gửi email xin lỗi, đề nghị người nhận xóa các email cũ và cảnh báo về nguy cơ nhận các tin nhắn lừa đảo. Sự cố này nhấn mạnh tầm quan trọng của quản lý danh sách email và tuân thủ các quy trình bảo mật thông tin cá nhân trong vận hành hành chính. Các tổ chức nên rà soát lại quy trình gửi email hàng loạt, đào tạo nhân viên về bảo mật dữ liệu và kiểm tra kỹ trước khi gửi thông tin nhạy cảm.