W skrócie
- Firma
- NSW Reconstruction AuthorityStanowa agencja rządowa do spraw odbudowy po klęskach żywiołowych
- Wielkość
- Średnio-duże (250–999 pracowników)
- Gdzie i kiedy
- Australia (Nowa Południowa Walia). Marzec 2025 – marzec 2026.
- Kto podał liczby
- Oficjalny dokumentWszystko na tej stronie pochodzi z publicznego komunikatu samej agencji o naruszeniu, ostatnio zaktualizowanego 26 marca 2026 roku.
Co się stało
Agencja prowadzi program pomocy dla ludzi, których domy zalała powódź. Między 12 a 15 marca 2025 roku pracownik tymczasowy wgrał do ChatGPT arkusz z listą wnioskodawców. Agencja nie zatwierdziła tego narzędzia. Ta osoba już tam nie pracuje.
Agencja podaje, że jej systemy nie zostały zhakowane i pozostały bezpieczne. Dane wyciekły, bo człowiek wprowadził je do zewnętrznego narzędzia.
Liczby
- 2031 osób miało część danych osobowych wgranych do narzędzia.
- Jeden plik Excel, z 10 kolumnami i ponad 12 000 wierszy.
- Co zawierał: imiona i nazwiska oraz dane kontaktowe, adresy, daty urodzenia i wrażliwe informacje o zdrowiu. Zawierał też niektóre uwagi o finansach. Nie zawierał danych bankowych ani numerów dokumentów tożsamości.
- Brak śladów publikacji. Agencja podaje, że nic nie wskazuje na to, by dane były publicznie dostępne w internecie. Stanowa służba cyberbezpieczeństwa nadal to sprawdza.
Co agencja zmieniła
- Zleciła niezależny przegląd, który wskazał, co poprawić w zasadach, szkoleniach i bezpieczeństwie danych.
- Napisała politykę postępowania przy naruszeniach danych i zaktualizowała plan ochrony prywatności o wytyczne dotyczące AI.
- Wzmocniła obowiązkowe szkolenia pracowników z obchodzenia się z danymi.
- Ograniczyła ręczne pobieranie danych ze swoich głównych systemów.
- Wprowadziła zabezpieczenia, które blokują przesyłanie danych osobowych do narzędzi AI.
- Tworzy osobną komórkę do spraw ochrony prywatności.
Co pokazuje ten przypadek
- Wystarczyło jedno przesłanie. Jeden plik, przeniesiony przez jedną osobę, objął dane ponad 2000 ludzi.
- Pracownicy tymczasowi też muszą znać zasady. Osoba, która wgrała plik, była pracownikiem tymczasowym.
- Rozwiązanie łączyło kilka środków. Agencja nie poprzestała na spisanej zasadzie. Dodała szkolenia, ograniczyła pobieranie danych i zablokowała przesyłanie.
Co ten przypadek mówi o praktykach
Co firma zmieniła później
- Zdecyduj, jakie dane mogą trafiać do jakich narzędzi AI Po naruszeniu agencja wprowadziła zabezpieczenia, które blokują przesyłanie danych osobowych do narzędzi AI, i ograniczyła ręczne pobieranie danych ze swoich głównych systemów. Zrób najpierw · Nakład pracy: niski (dni, jedna osoba)
- Napisz jednostronicową politykę korzystania z AI, którą pracownicy naprawdę przeczytają Agencja zaktualizowała swój plan ochrony prywatności o wytyczne dotyczące AI i wprowadziła własną politykę postępowania przy naruszeniach danych. Zrób najpierw · Nakład pracy: niski (dni, jedna osoba)
- Szkol pracowników z obsługi narzędzi, które firma naprawdę wybrała Przegląd wykazał luki w zasadach, szkoleniach i bezpieczeństwie danych. Agencja wzmocniła wtedy obowiązkowe szkolenia pracowników z obchodzenia się z danymi. Zrób najpierw · Nakład pracy: średni (tygodnie, kilka osób)
Źródła
- NSW Reconstruction Authority. Resilient Homes Program data breach. Public notice and questions and answers (updated 26 March 2026). nsw.gov.au