Usunięte dane i ponad 200 tys. dolarów straty w wyniku zemsty zwolnionego pracownika
Czy firmy mogą ustrzec się przed zemstą zwalnianych pracowników? Mogą i powinni to robić, o czym świadczy przypadek przywołany przez firmę Marken Systemy Antywirusowe, dystrybutora rozwiązań marki Bitdefender w Polsce.
38-letni Miklos Daniel Brody z San Francisco pracował jako inżynier ds. chmury w banku First Republic do 11 marca 2020 r., kiedy to został zwolniony za pobieranie filmów dla dorosłych na pamięć USB za pośrednictwem komputerów firmy. Mężczyzna w ramach zemsty wykorzystał dostęp do zasobów firmowych, następnie usunął dane bankowe i spowodował straty w wysokości ponad 220 tysięcy dolarów. Za swój czyn, Brody został skazany na 24 miesiące więzienia po uznaniu go za winnego włamania się do sieci swojego byłego pracodawcy i wyrządzenia znacznych szkód.
Zgodnie z komunikatem prasowym wydanym przez biuro amerykańskiego prokuratora Brody usunął repozytoria kodów przechowywane przez bank w chmurze, uruchomił skrypt do usuwania logów, pozostawił wiadomości zawierające zaczepki dla byłych kolegów i podszywał się pod innych pracowników, otwierając sesje w ich imieniu. Ponadto Brody wysłał sobie e-mailem zastrzeżony kod, nad którym pracował podczas pracy w banku, o wartości ponad 5000 dolarów.
W ciągu kilku dni i tygodni po złożeniu wniosku Brody próbował zatrzeć ślady, składając raport policyjny, w którym twierdził, że jego firmowy laptop został skradziony z jego samochodu, gdy ćwiczył na siłowni. Nadal podtrzymywał tę historię nawet po aresztowaniu w marcu 2021 r. i przesłuchaniu przez agentów amerykańskich służb.
Brody otrzymał teraz karę 24 miesięcy pozbawienia wolności za włamanie do sieci i składanie fałszywych oświadczeń śledczym. Ponadto Brody’emu nakazano zapłacić zadośćuczynienie w łącznej wysokości 529 266,37 dolarów. Skazany po wyjściu z więzienia będzie musiał dodatkowo spędzić trzy lata pod nadzorem kuratora.
Wszystkiego tego oczywiście można było łatwo uniknąć, gdyby pracodawcy Brody’ego wdrożyli bezpieczniejszy proces tzw. offboardingu (mówiąc wprost: zwalniania pracownika). Sytuację już znacznie polepszyłoby zapewnienie, że dane logowania zostały zmienione lub całkowicie usunięte, gdy ktoś opuścił firmę.
„Zwolnienie z pracy z reguły wiąże się z bardzo negatywnymi emocjami pracownika, dlatego pracodawca powinien pamiętać o tym, aby jak najszybciej wycofać wszelkie dostępy do kluczowych usług firmy zwalnianej osobie. Niedopilnowanie tego może sprawić, że taki były pracownik wyrządzi wiele szkód, lub skradnie kluczowe dane i skompromituje firmę” – mówi Krzysztof Budziński z firmy Marken Systemy Antywirusowe, polskiego dystrybutora oprogramowania Bitdefender.
Samo eskortowanie kogoś z terenu firmy nie wystarczy. Należy także rozważyć, czy mają oni dostęp do zdalnego logowania się do systemów firmowych i czy mogą posiadać w domu sprzęt i dane należące do firmy. Warto także upewnić się, że firma ma solidną ochronę i że tylko pracownicy posiadający odpowiednie uprawnienia mają dostęp do poufnych lub wrażliwych informacji i systemów. A gdy ci autoryzowani użytkownicy nie będą już upoważnieni, należy natychmiast odebrać im prawa dostępu.
