471 милиона уведомления, малко обяснения: Какво установи докладът

Нов доклад посочва зашеметяващо число за проблем, за който защитниците на личните данни предупреждават от години: над 471 милиона уведомления до жертви на пробиви са били изпратени само за шест месеца. Това не е печатна грешка. Ако темпото се запази, това прави доста над половин милиард уведомления годишно, засягайки мащаб от населението, който е трудно напълно да се осмисли.

Но обемът дори не е най-тревожната част. Според доклада, повечето от тези уведомления не успяват да обяснят как нападателите всъщност са проникнали. Нито дума дали става въпрос за фишинг имейл, некръпен сървър, откраднати идентификационни данни или компрометиран доставчик от трета страна. Само бегло потвърждение, че е настъпил „неоторизиран достъп“, последвано от шаблонни съвети да следите сметките си.

Това е сърцевината на проблема с прозрачността при уведомленията за пробиви на данни. Законите в повечето юрисдикции изискват компаниите да ви кажат, че е настъпил пробив и какви данни са били изложени. Много малко от тях изискват да обяснят как се е случило. Тази празнина оставя потребителите неспособни да преценят дали практиките за сигурност на дадена компания са били разумни, безразсъдни или нещо по средата, и неспособни да оценят собствения си реален риск занапред.

Защо компаниите остават неясни относно векторите на атака

Съществуват практически и правни причини компаниите да поддържат оскъдно съдържание на уведомленията за пробиви. Текущи разследвания, активни съдебни дела и излагане на регулаторен риск дават стимул на правните екипи да казват колкото се може по-малко. Компания, която признае, че е оставила база данни некриптирана или е пренебрегнала известна софтуерна уязвимост, подава муниции на адвокатите на ищците и регулаторите.

Съществува и репутационно пресмятане. Подробните технически разкрития могат да изглеждат като признание за некомпетентност, докато неясен език като „сложна атака“ или „неоторизирана трета страна“ звучи повече като лош късмет, отколкото като небрежност, дори когато истината е по-близо до второто. Законите за уведомяване при пробиви в САЩ се различават значително в отделните щати и повечето поставят ниска летва: уведомете засегнатите лица, опишете категориите изложени данни и предложете някаква форма на кредитен мониторинг. Малко от тях налагат обяснение на първопричината, а прилагането дори на тези базови изисквания е непоследователно.

Резултатът е система, при която компаниите удовлетворяват буквата на закона, докато дават на потребителите почти нищо, което могат да използват, за да се защитят или да потърсят отговорност от някого.

Скорошни пробиви показват повтарящия се модел

Това не е абстрактна тенденция. Тя се проявява в пробив след пробив, които попадат в заглавията. Пробивът на данни в Humana, който засегна клиенти в шест щата, включваше една от най-чувствителните информации, с които хората разполагат – здравни досиета, но публичните подробности за метода на атака бяха ограничени. Пробивът в Novo Nordisk, при който нападателите твърдяха, че са откраднали 1,3 терабайта данни от клинични изпитвания, също остави много въпроси относно точката на проникване без отговор в публичните изявления.

Моделът се простира отвъд здравеопазването и фармацевтиката. Пробивът на данни в Odido изложи 6,2 милиона записа, включително данни за банкови сметки, и дори пробивът на филмовия фестивал Tribeca, който засегна високопоставени посетители, последва познатия сценарий: потвърждение, че данните са били изложени, уверение, че въпросът се разследва, и малко друго. В различни индустрии и континенти наръчникът за оповестяване изглежда забележително последователен и забележително оскъден.

Как да се защитите, когато подробностите се премълчават

Тъй като по принцип не можете да разчитате на компания да ви каже точно как са били изложени данните ви, по-полезният въпрос е какво можете да контролирате, независимо от обяснението, което ви се дава.

Започнете с хигиена на идентификационните данни. Ако преизползвате пароли в различни сайтове, пробив в една компания се превръща в пробив навсякъде, където сте използвали същата парола. Мениджър на пароли, който генерира уникални идентификационни данни за всеки акаунт, премахва този риск почти изцяло. Съчетайте го с многофакторно удостоверяване навсякъде, където се предлага, тъй като то блокира повечето опити за превземане на акаунти, дори когато парола изтече.

Следете сметките и кредита си проактивно, вместо да чакате да пристигне уведомление. Уведомленията за пробиви често изостават с месеци след действителния инцидент, така че докато ви уведомят, необичайна активност може вече да е започнала. Много банки и кредитни бюра предлагат безплатни известия за откриване на нови сметки или необичайни такси; включете ги.

Бъдете скептични към неясния език на уведомленията. Ако писмо казва „неоторизиран достъп“ без конкретика, третирайте го като сигнал да замразите кредита си или да поставите предупреждение за измама, вместо като причина да се успокоите. И имайте предвид, че докато цифровите системи за самоличност се разширяват, залозите около това какво се централизира и колко добре е защитено само ще растат, правейки личната бдителност още по-важна занапред.

Какво означава това за вас

Основният урок от този доклад е, че прозрачността при уведомленията за пробиви на данни в момента е до голяма степен пожелателна, а не надежден стандарт. Компаниите са законово задължени да ви кажат, че е настъпил пробив, но не и да ви кажат защо е настъпил или как е могъл да бъде предотвратен. Това означава, че отговорността за намаляване на собствената ви изложеност пада непропорционално върху вас.

Това не е причина за паника. Това е причина за промяна в мисленето: третирайте всеки акаунт като потенциална бъдеща жертва на пробив, не само тези, които вече са ви изпратили уведомление. Използвайте уникални пароли, включете многофакторно удостоверяване, редовно следете финансовите си сметки и не чакайте корпоративно оповестяване, за да ви каже, че е време да действате.

Практически изводи:

  • Одитирайте паролите си и преминете към мениджър на пароли, ако преизползвате идентификационни данни в различни сайтове.
  • Включете многофакторно удостоверяване за имейл, банкиране и всеки акаунт, съдържащ чувствителни данни.
  • Настройте безплатни известия за наблюдение на сметки и кредит, вместо да чакате уведомление за пробив.
  • Третирайте неясния език за пробив („неоторизиран достъп“, „сложна атака“) като подкана да замразите кредита си, а не като причина да пренебрегнете риска.
  • Следете отразяването на пробиви за компаниите, които използвате, за да можете да действате при инциденти още преди официалното уведомление да пристигне.