Украли данные клиентов и взломали сайт — кто отвечает по закону и по договору?

Вместо того чтобы сейчас искать виноватых, срочно сделайте три вещи: 1) если 72 часа еще не прошли, отправьте предварительное уведомление в земельное ведомство по защите данных; 2) снимите снепшот сервера и зафиксируйте улики, ни в коем случае не накатывайте все с нуля прямо сейчас; 3) бегом к толковому юристу по IT-праву.

В типовых договорах агентств почти всегда есть пункт: «агентство не несет ответственности за уязвимости в сторонних плагинах». За скромные 350 EUR в месяц гарантию защиты от любых уязвимостей и пентесты вам никто не предоставит. Скорее всего, судебные издержки просто перекроют любую компенсацию от них.

Проходили похожую историю два года назад. Экспертиза и форензика обошлись в 4.800 EUR, адвокат — еще в 3.200 EUR. Ведомство по защите данных штрафовать не стало, отделались предупреждением, потому что вовремя подали репорт и вели себя максимально открыто. Суд с агентством тянулся 14 месяцев и закончился частичным мировым соглашением.

Тут важно понимать границу: во внешних отношениях (перед государством и пострадавшими) отвечаете исключительно вы. Во внутренних — ваши договоренности с агентством. Кстати, если у вас с ними не был подписан AVV (Auftragsverarbeitungsvertrag), регулятор вам еще и за передачу данных без договора припаяет.

Когда у нас такое случилось, агентство с порога заявило: «сервер сбрутфорсили, наш код чистый». Наняли независимого безопасника, тот копнул: двухфакторка в админке была не обязательной, а известная дыра в форме висела без патча 6 месяцев. Как только положили отчет на стол, их страховка профессиональной ответственности выплатила половину ущерба.

А регламент обновлений в договоре вообще зафиксирован? Типа «критические патчи ставятся в течение 48 часов» или ничего такого? И еще вопрос: пароли и данные клиентов в базе лежали солеными хешами (hash/salt) или открытым текстом?

классический треугольник: агентство валит на хостинг, хостинг на автора плагина, а автора плагинна и след простыл... а крайним всегда остается владелец домена.. но советую уже сейчас звонить юристу.

P.S.: вопрос уже задавали ниже, ответ во втором сообщении.

Согласен с этим. Пытаться сделать это в одиночку — самый дорогой путь.

Если включена двухфакторная аутентификация украденный пароль бесполезен. Конечно, если ваша ситуация отличается всё меняется.

Слежу за темой.

У меня было наоборот, поэтому и пишу. Если путь уведомления длинный, уведомление не приходит; а не пришедшее уведомление — это поздно обнаруженный инцидент.

Это мое мнение, не утверждаю, что оно единственно верное.

если смотреть на процесс в целом картина меняется и не стесняйтесь спрашивать, молчание вегда обходится дороже.

если напишете реультат здесь, это поможет и другим.

не знал об этом.

В теории верно но на практике так не работает. Любой пункт, не зафиксированный письменно, в будущем обе стороны будут помнить по-разному.

Процесс, по которому не ведется учет, не улучшается потому что вы не знаете, что именно улучшать. кстати надеюсь, это будет полезно.

Обсуждение размылось, давайте структурируем. Безопасность не бывает абсолютной; цель — сделать атаку нецелесообразной.

Надеюсь, это будет полезно.

Появились три разных мнения, они дополняют друг друга. Ответ сильно зависит от отрасли, универсального правила нет.

Конечно, если ваша ситуация отличается, всё меняется.

Спасибо, что написали об этом, это действительно так. Если путь уведомления длинный, уведомление не приходит; а не пришедшее уведомление — это поздно обнаруженный инцидент.

Оставлю как заметку, пригодится.

Согласен. Не стесняйтесь спрашивать молчание всегда обходится дороже.

Слежу за темой.