La massiccia violazione dei dati colpisce i più grandi fondi pensione pubblici negli Stati Uniti

Sono state divulgate le informazioni personali di circa 769.000 membri CalPERS in pensione violazione dei dati di terzi che è stato segnalato all’inizio di questo mese. CalSTRS ha affermato che 415.000 dei suoi membri e beneficiari sono stati interessati dalla violazione.

CalPERS, il sistema pensionistico dei dipendenti pubblici della California, è il più grande fondo pensionistico pubblico del paese. Serve più di 2 milioni di membri nel suo regime pensionistico e più di 1,5 milioni nel suo programma sanitario.

CalSTRS, il California State Teachers Retirement System, è il secondo più grande fondo pensionistico pubblico negli Stati Uniti e il più grande sistema pensionistico degli insegnanti. Serve più di 947.000 membri.

CalPERS ha affermato per la prima volta in una dichiarazione mercoledì che il suo fornitore di terze parti, PBI Research Services, ha notificato all’agenzia il 6 giugno una vulnerabilità nell’app MOVEit Transfer che da allora è stata risolta.

PBI CalPERS aiuta a identificare i decessi dei membri e garantire che i pagamenti corretti vadano ai pensionati e ai loro beneficiari.

CalPERS ha affermato che la vulnerabilità dell’app ha consentito il download di dati come nome e cognome, data di nascita e numeri di previdenza sociale da parte di terzi non autorizzati. Era inoltre possibile accedere ai nominativi dei familiari delle persone.

CalPERS ha affermato che la violazione non ha influenzato i suoi sistemi informativi, myCalPERS o i membri attivi. Inoltre, non influisce sui pagamenti mensili degli interessi dei membri.

Ma oltre ai membri in pensione e alle loro famiglie, la violazione potrebbe aver colpito anche i membri inattivi che diventano rapidamente idonei per i benefici, ha affermato Calpers.

PBI ha affermato in una dichiarazione di aver identificato la vulnerabilità “alla fine di maggio” e di essere stata “sfruttata attivamente dai criminali informatici”.

“PBI ha prontamente corretto la sua istanza di MOVEit, ha riunito un team di professionisti della sicurezza informatica e della privacy, ha informato le forze dell’ordine federali e ha contattato i clienti potenzialmente interessati”, ha affermato PBI. “I criminali informatici non avevano accesso ad altri sistemi PBI: si accedeva solo al vulnerabile portale amministrativo MOVEit. PBI lavora direttamente con i clienti interessati per identificare i consumatori interessati e sviluppare piani di notifica”.

Calpers ha affermato che anche migliaia di altre organizzazioni sono state colpite dalla violazione.

Secondo l’Associated Press, il Dipartimento dell’Energia degli Stati Uniti e altre agenzie federali erano a rischio, insieme a oltre 9 milioni di conducenti in Oregon e Louisiana, alla Johns Hopkins University, alla società di contabilità Ernst & Young, alla BBC e alla British Airways.

CalPERS ha detto giovedì che inizierà a inviare lettere ai membri interessati sulla violazione e offrirà loro il monitoraggio del credito Experian gratuito per due anni.

Non è stato immediatamente chiaro se CalPERS avesse ricevuto segnalazioni di frode in relazione alla violazione. KCRA3 chiede anche perché l’agenzia abbia aspettato fino a questa settimana per annunciare la violazione.

Avremmo dovuto saperlo. Avremmo dovuto essere in grado di controllare i nostri conti “, ha affermato Randy Chick, direttore legislativo della California Retired Public Employees Association. .

L’Associated Press riferisce che la banda criminale Cl0p, ritenuta responsabile dell’hacking, sta estorcendo vittime.

I membri di CalPERS possono inviare domande sulla violazione via e-mail a PBIquestions@calpers.ca.gov o chiamare il numero 833-919-4735 dal lunedì al venerdì dalle 6:00 alle 20:00 o il sabato e la domenica dalle 8:00 alle 17:00.

CalPERS ha affermato che in risposta alla violazione, sta creando nuovi protocolli per myCalPERS e misure di salvaguardia per coloro che utilizzano il call center o che visitano un ufficio regionale.

“Questa violazione esterna delle informazioni è imperdonabile”, ha dichiarato in una nota il CEO di CalPERS Marcy Frost. “I nostri membri meritano di meglio. Non appena siamo venuti a conoscenza di ciò che era accaduto, abbiamo intrapreso azioni rapide per proteggere gli interessi finanziari dei nostri membri, nonché misure per garantire una protezione a lungo termine”.

Giovedì, CalSTRS ha confermato di essere stato colpito anche da KCRA 3. Il sistema ha affermato di essere stato informato il 4 giugno che i sistemi PBI erano stati sfruttati. L’8 giugno è stato comunicato che la violazione conteneva informazioni personali di alcuni dei suoi membri.

“Questo incidente non ha comportato l’accesso non autorizzato alla rete CalSTRS”, ha affermato CalSTRS. “CalSTRS sta collaborando con PBI per identificare i membri di CalSTRS le cui informazioni sono state coinvolte in un incidente PBI. CalSTRS informerà tutti i membri e i beneficiari le cui informazioni personali sono state coinvolte in conformità con la legge applicabile.”

CalSTRS, in una e-mail venerdì, ha affermato che i nomi, i numeri di previdenza sociale, le date di nascita e i codici postali di 415.000 membri e dei loro beneficiari sono stati rilasciati a causa della violazione. È stata inviata una lettera alle persone interessate che delinea le risorse disponibili per aiutare a proteggere le informazioni private.

“CalSTRS sta valutando il rapporto con i servizi di ricerca PBI e le misure di sicurezza in atto”, ha affermato l’agenzia. “PBI ha informato CalSTRS di aver applicato le patch consigliate al suo sistema di trasferimento file e di aver adottato le misure di mitigazione consigliate. CalSTRS continua a lavorare per garantire che tutti i nostri fornitori di servizi implementino misure di sicurezza che proteggano le informazioni dei nostri membri”.