Francuskie Biuro ds. Imigracji i Integracji (OFII) potwierdziło pod koniec 5 stycznia, że podwykonawca zarządzający bazą danych Kontraktu Integracyjnego (CIR) został zhakowany, a dane osobowe cudzoziemców mieszkających we Francji wyciekły do sieci. Haker opublikował próbki plików na forum przestępczym 1 stycznia i twierdzi, że posiada informacje nawet o 2 milionach osób, choć OFII podaje, że początkowy wyciek dotyczy „mniej niż 1000” osób. W wykradzionym arkuszu znalazły się imiona i nazwiska, numery telefonów, daty urodzenia, narodowości oraz powody pobytu – wszystkie te dane są wysoce wrażliwe.
Dyrektor generalny OFII, Didier Leschi, zapewnia, że systemy informatyczne agencji nie zostały naruszone; wyciek pochodzi od prywatnego dostawcy szkoleń, który prowadzi kursy językowe i obywatelskie wymagane do uzyskania długoterminowego pobytu. Eksperci prawni podkreślają jednak, że OFII jako administrator danych pozostaje odpowiedzialne i może zostać ukarane wysokimi sankcjami na mocy unijnego Rozporządzenia o Ochronie Danych Osobowych (RODO), jeśli śledztwo wykaże niedostateczny nadzór nad zabezpieczeniami stosowanymi przez podwykonawcę.
![Cyberatak na francuską agencję ds. imigracji ujawnia dane osobowe obcokrajowców mieszkających we Francji]()
Dla pracodawców incydent rodzi pilne pytania o obowiązki opieki nad pracownikami. Międzynarodowe firmy często korzystają z danych OFII przy przedłużaniu zezwoleń na pobyt i w sprawach łączenia rodzin. Działy HR powinny zalecić pracownikom delegowanym i zatrudnionym lokalnie monitorowanie raportów kredytowych oraz zmianę adresów e-mail i numerów telefonów, które mogły trafić do sieci dark web. Prawnicy specjalizujący się w imigracji radzą również wprowadzić do umów z dostawcami usług klauzule dotyczące naruszenia danych oraz wymogi dotyczące standardów szyfrowania dokumentów pracowniczych.
W dłuższej perspektywie zdarzenie to prawdopodobnie przyspieszy francuskie działania na rzecz cyfrowej suwerenności. Ministerstwo Spraw Wewnętrznych przeznaczyło już 220 milionów euro na modernizację internetowego portalu imigracyjnego ANEF i planuje do 2027 roku przenieść kluczowe bazy danych do suwerennej chmury. Komisja ds. cyfryzacji parlamentu zaprosiła na przesłuchanie OFII oraz podwykonawcę, co zapowiada zaostrzenie kontroli nad zamówieniami publicznymi w obszarze mobilności.
Ostatecznie wyciek podkreśla, jak bardzo podatne na ataki stały się procesy imigracyjne w dobie zdalnego przetwarzania i usług integracyjnych realizowanych przez podwykonawców. Firmy powinny potraktować sprawę OFII jako impuls do audytu własnych praktyk udostępniania dokumentów oraz do poinformowania mobilnych pracowników o krokach, które pomogą chronić ich dane tożsamości we Francji.
Dyrektor generalny OFII, Didier Leschi, zapewnia, że systemy informatyczne agencji nie zostały naruszone; wyciek pochodzi od prywatnego dostawcy szkoleń, który prowadzi kursy językowe i obywatelskie wymagane do uzyskania długoterminowego pobytu. Eksperci prawni podkreślają jednak, że OFII jako administrator danych pozostaje odpowiedzialne i może zostać ukarane wysokimi sankcjami na mocy unijnego Rozporządzenia o Ochronie Danych Osobowych (RODO), jeśli śledztwo wykaże niedostateczny nadzór nad zabezpieczeniami stosowanymi przez podwykonawcę.
Dla pracodawców incydent rodzi pilne pytania o obowiązki opieki nad pracownikami. Międzynarodowe firmy często korzystają z danych OFII przy przedłużaniu zezwoleń na pobyt i w sprawach łączenia rodzin. Działy HR powinny zalecić pracownikom delegowanym i zatrudnionym lokalnie monitorowanie raportów kredytowych oraz zmianę adresów e-mail i numerów telefonów, które mogły trafić do sieci dark web. Prawnicy specjalizujący się w imigracji radzą również wprowadzić do umów z dostawcami usług klauzule dotyczące naruszenia danych oraz wymogi dotyczące standardów szyfrowania dokumentów pracowniczych.
W dłuższej perspektywie zdarzenie to prawdopodobnie przyspieszy francuskie działania na rzecz cyfrowej suwerenności. Ministerstwo Spraw Wewnętrznych przeznaczyło już 220 milionów euro na modernizację internetowego portalu imigracyjnego ANEF i planuje do 2027 roku przenieść kluczowe bazy danych do suwerennej chmury. Komisja ds. cyfryzacji parlamentu zaprosiła na przesłuchanie OFII oraz podwykonawcę, co zapowiada zaostrzenie kontroli nad zamówieniami publicznymi w obszarze mobilności.
Ostatecznie wyciek podkreśla, jak bardzo podatne na ataki stały się procesy imigracyjne w dobie zdalnego przetwarzania i usług integracyjnych realizowanych przez podwykonawców. Firmy powinny potraktować sprawę OFII jako impuls do audytu własnych praktyk udostępniania dokumentów oraz do poinformowania mobilnych pracowników o krokach, które pomogą chronić ich dane tożsamości we Francji.
Źródło: Le Monde / L’Usine Digitale
