De Amerikaanse bank Capital One heeft een boete van 80 miljoen dollar gekregen voor een datalek waarbij vorig jaar de gegevens van 106 miljoen mensen werden gestolen. Het ging om namen, adresgegevens, postcodes, telefoonnummers, e-mailadressen, geboortedata en inkomen van al bestaande en potentiële klanten die een creditcard wilden aanvragen.

Van mensen die al een creditcard van Capital One hadden werden ook transactiegegevens, kredietscores, kredietlimieten, betaalgeschiedenis, social security nummers en rekeningnummers gestolen. Het betrof zo'n 100 miljoen mensen in de Verenigde Staten en zo'n 6 miljoen mensen in Canada. De dader achter de diefstal was op het moment dat de bank op 29 juli het datalek meldde al door de FBI aangehouden.

Volgens de bank wist de verdachte via een "configuratielek" toegang tot de gegevens te krijgen. Het bleek te gaan om een verkeerd geconfigureerde webfirewall. De verdachte berichtte op GitHub over de datadiefstal bij Capital One. Een externe beveiligingsonderzoeker die het bericht van de verdachte zag tipte de bank over het mogelijke datalek. Dat leidde op 19 juli vorig jaar tot de ontdekking van de datadiefstal. Capital One stelt dat het gegevens standaard versleutelt, maar dat de verdachte door de "omstandigheden" van dit incident de data ook kon ontsleutelen.

De Amerikaanse bankentoezichthouder Office of the Comptroller of the Currency (OCC) stelde een onderzoek in naar het datalek. Daaruit bleek dat de bank bij de migratie naar een cloudomgeving tekort was geschoten in het vaststellen en beheren van de risico's. Zo was er geen adequaat risicomanagement voor de cloudomgeving, waaronder maatregelen voor netwerkbeveiliging, datalekpreventie en de omgang met waarschuwingen.

Tijdens een interne audit die de bank uitvoerde werden verschillende tekortkomingen in de cloudomgeving niet geïdentificeerd. Verschillende problemen die de audit wel opmerkte werden niet adequaat door het bestuur opgepakt. Daardoor heeft de bank zich niet aan de richtlijnen gehouden en hield het zich bezig met onveilige en ondeugdelijke praktijken, aldus de OCC. Naast de boete van 80 miljoen dollar werd Capital One ook opgedragen om aanpassingen aan het beleid en beveiligingsmaatregelen door te voeren. Onderzoekers hebben geen aanwijzingen gevonden dat de verdachte achter de datadiefstal de gestolen gegevens heeft verspreid of verkocht.