Harde schijven met gevoelige gegevens van klanten van de Amerikaanse bank Morgan Stanley zijn geveild op internet, zo heeft de Amerikaanse beurswaakhond SEC ontdekt die het bedrijf een boete van 35 miljoen dollar oplegde voor het niet beveiligen van de persoonlijke informatie van vijftien miljoen klanten.

Sinds 2015 is de bank niet goed omgegaan met het afdanken van apparaten met klantgegevens. Zo werd meerdere keren een verhuis- en opslagbedrijf ingeschakeld, met geen enkele ervaring in datavernietiging, om duizenden afgedankte harde schijven en servers met klantgegevens af te voeren. Daarnaast werden de werkzaamheden van het bedrijf niet door Morgan Stanley gemonitord.

Het verhuisbedrijf verkocht de harde schijven en servers van Morgan Stanley aan een derde partij. Vervolgens werden de apparaten op internet geveild. De aanwezige klantdata was echter niet verwijderd. Verder bleek dat Morgan Stanley tijdens een project om hardware binnen de bank te vervangen 42 servers met onversleutelde klantgegevens was kwijtgeraakt. Ook bleek dat de lokale systemen van Morgan Stanley de mogelijkheid hadden om opgeslagen data te versleutelen, maar dat de encryptiesoftware jarenlang niet was ingeschakeld.

De Securities and Exchange Commission noemt het falen van de bank "verbijsterend". "Klanten vertrouwen hun persoonlijke informatie aan financiële professionals toe, met het idee en de verwachting dat het zal worden beschermd en Morgan Stanley schoot hierin ernstig tekort", zegt Gurbir Grewal, directeur van de handhavingsdivisie van de SEC.