Data peribadi 600,000 pengunjung bocor: MBS didenda $315,000

Marina Bay Sands (MBS) telah dikenakan denda $315,000 oleh Suruhanjaya Perlindungan Data Peribadi (PDPC), dua tahun selepas kejadian pelanggaran data yang menyebabkan maklumat peribadi lebih 600,000 pengunjung bocor.

Jumlah denda itu merupakan kedua tertinggi pernah dikeluarkan PDPC, selepas denda $750,000 terhadap Sistem Maklumat Kesihatan Bersepadu (IHiS) atas kelemahan dalam melindungi data pesakit yang mengakibatkan pelanggaran data terbesar negara pada 2018.

Sejak Oktober 2022, syarikat dengan perolehan tahunan melebihi $10 juta di Singapura yang melakukan kesalahan pelanggaran data boleh dikenakan denda maksimum 10 peratus daripada perolehan tahunannya, atau $1 juta.

Sebelum ini, organisasi yang melanggar Akta Perlindungan Data Peribadi (PDPA) boleh dikenakan denda sehingga $1 juta, lapor The Straits Times (ST).

“Di bawah rangka kerja penalti kewangan yang disemak, jumlah denda (terhadap MBS) mengambil kira skala pelanggaran data, yang mendedahkan maklumat peribadi lebih setengah juta pelanggan tanpa izin mereka,” kata suruhanjaya itu pada 28 Oktober.

PDPC menambah, pengendali hotel itu telah mengakui pelanggaran terhadap kewajipan melindungi data pelanggan di bawah PDPA.

“PDPC juga mengambil kira pengakuan tanggungjawab secara sukarela oleh MBS, serta pelaksanaan langkah pemulihan segera, termasuk mengaktifkan semula langkah keselamatan laman web pada hari sama,” jelas suruhanjaya itu.

PDPC berkata data yang bocor – termasuk nama dan butiran untuk menghubungi pengunjung – didapati telah ditawarkan untuk dijual di web tertutup atau dark web.

Pelanggaran data itu berlaku pada Oktober 2023, apabila maklumat 665,495 pengunjung ke resort itu diakses dan diambil secara haram oleh pihak tidak dikenali.

MBS gagal mengambil “langkah keselamatan yang sepatutnya” bagi melindungi data peribadi yang berada dalam simpanannya semasa latihan pemindahan perisian berskala besar pada Mac 2023, kata PDPC.

Dasar keselamatan perlu diterapkan semasa proses pemindahan daripada perisian lama ke yang baru, termasuk semua aplikasi yang diakses melalui antara muka atur cara aplikasi (API) dan pengecam masing-masing.

Namun, salah satu pengecam yang menjejas halaman ArtScience Friends terlepas semasa kerja pemindahan, yang membuka jalan bagi pihak tidak dikenali mengakses dan mengeluarkan data peribadi, kata suruhanjaya itu.

MBS bergantung kepada seorang pekerja untuk menyusun senarai konfigurasi API secara manual dan gagal melaksanakan pemeriksaan tambahan walaupun terdapat risiko jelas dalam latihan pemindahan sedemikian, kata PDPC.

Ia gagal mengesan dan menangani kecuaian itu selama enam bulan, meninggalkan data peribadi pelanggan mereka tanpa perlindungan.

“Sebagai sebuah syarikat berskala besar dengan perolehan besar di Singapura, jelas MBS mempunyai sumber yang diperlukan untuk melindungi data peribadi pelanggan mereka.

“Kebocoran data sebegini boleh kemudian dieksploitasi dalam penipuan pancingan data atau pencurian identiti,” kata PDPC.