Изтичането на данни от AfD с 421 000 имейла даде на обществеността необичаен поглед към вътрешността на една германска политическа партия. Според heise online партията „Алтернатива за Германия“ очевидно е претърпяла пробив и около 421 000 имейла са били публикувани. Заглавието на репортажа се позовава и на незаконно копирани файлове. Голяма част от отразяването ще се съсредоточи върху това какво разкриват съобщенията за партията. Тази статия възприема различен ъгъл: какво означава изтичане от този вид за обикновените хора, които се появяват в нечия чужда пощенска кутия.
Бележка относно обхвата: изходната статия е кратка и много подробности, като например как са били извлечени данните, кой ги е публикувал и какво точно съдържат имейлите, не са установени в материала, с който разполагаме. Придържаме се към това, което е било съобщено, и обясняваме общите рискове, произтичащи от всяко голямо изтичане на имейли.
Какво беше публикувано при изтичането на имейли от AfD
Основните факти са ограничени. Партията очевидно е претърпяла нарушение на сигурността на данните и около 421 000 имейла са станали публични. Heise описва материала като предлагащ поглед към вътрешността на партията. Думата „очевидно“ е важна: за пробива е съобщено, но читателите следва да се отнасят с внимание към допълнителни твърдения, циркулиращи онлайн, докато партията, разследващите или надеждни издания не ги потвърдят.
Пощенските архиви са сред най-разкриващите видове изтекли данни. За разлика от база данни с потребителски имена, пощенската кутия съдържа разговори в свободен текст, прикачени файлове, препратени документи, подписи с телефонни номера и пълни заглавки, показващи кой на кого и кога е писал. Дори ако само част от 421 000 съобщения съдържа чувствителен материал, обемът прави невъзможно за всеки да знае предварително какво има вътре.
Кой е изложен отвъд самата партия
Хората, които е най-вероятно да бъдат засегнати, не са непременно лидерите на партията. Всеки, който е кореспондирал с организацията, може да се появи в архива: членове, които са изпращали заявления или въпроси, дарители, участници в събития, журналисти, доставчици, местни служители и членове на обществеността, които са писали с оплаквания или мнения. Никой от тях не е контролирал как партията съхранява или защитава пощата си.
Това е централният урок от организационните пробиви. Вашата изложеност зависи от практиките за сигурност на всяка група, с която комуникирате, а не само от вашите собствени. Човек, който е написал едно-единствено съобщение до политическа партия, може сега да има своето име, имейл адрес и всички подробности в това съобщение, намиращи се в публичен дъмп.
В политически контекст залозите могат да бъдат по-високи, отколкото при типично търговско изтичане. Свързването с партия може да бъде чувствително и публикуваната кореспонденция може да доведе до тормоз, доксинг или целенасочен фишинг. Измамниците също са склонни да използват изтекли данни за контакт, за да създават убедителни съобщения, които се позовават на реални разговори. Същият модел на вторична вреда се появява и при други инциденти, които сме отразявали, като изтичането на данни от Gyazo, при което бяха изложени 23,6 млн. потребителски записа, където реалният риск за хората идваше от това, което другите можеха да направят с изтеклите данни впоследствие.
Задължения по GDPR за партията и права за засегнатите хора
Тъй като партията оперира в Германия, релевантната рамка е Общият регламент относно защитата на данните на ЕС. Съгласно GDPR организация, която претърпи нарушение на сигурността на личните данни, обикновено трябва да уведоми компетентния надзорен орган без неоправдано забавяне и където е осъществимо в рамките на 72 часа от узнаването за него, освен ако нарушението е малко вероятно да изложи хората на риск. Ако рискът за хората е висок, организацията трябва също да информира пряко засегнатите. Политическите мнения се третират като специална категория лични данни съгласно регламента, което повишава нивото на защита и надзор.
Нямаме потвърждение от изходната статия относно това дали са направени уведомления, така че не можем да кажем дали партията е изпълнила тези задължения. Това, което можем да опишем, са правата, които хората имат:
- Право на достъп: можете да поискате от организацията дали тя съхранява ваши лични данни и да поискате копие.
- Право на изтриване: в много случаи можете да поискате данните ви да бъдат изтрити.
- Право на жалба: можете да подадете жалба до орган за защита на данните, ако смятате, че данните ви са били неправомерно обработени.
- Право на обезщетение: GDPR позволява на физическите лица да търсят обезщетение за материални или нематериални вреди, причинени от нарушения.
Ако някога сте били в контакт с партията, изпращането на заявление за достъп е разумен начин да разберете какво съхраняват те за вас.
Какво означава това за вас
Не е нужно да сте член на партия, за да бъдете засегнати от изтичане като това. Ако сте писали до, дарили сте на или сте се регистрирали в организация, която е била обект на пробив, приемете, че подробностите в тези съобщения може вече да са публични. Практическите рискове са фишинг, имитиране на самоличност и нежелано внимание, а не незабавно завземане на акаунт, освен ако парола или връзка за вход не е била изпратена по имейл.
Последната точка заслужава внимание. Старите имейли често съдържат връзки за нулиране на пароли, споделени идентификационни данни или номера на сметки. Ако някога сте изпращали или получавали такива подробности в кореспонденция със засегнатата организация, третирайте ги като компрометирани. Големите дъмпове на вътрешни данни, като описания в нашия репортаж за 12TB Teraleak на Valve, показват как отдавна забравен материал може да изплува отново години по-късно.
Как да се защитите след организационен пробив
Не можете да поправите сигурността на някой друг, но можете да ограничите щетите от ваша страна:
- Проверете базите данни за изтичания. Потърсете своя имейл адрес в надеждна услуга за уведомяване за изтичания, за да видите дали се появява в известни дъмпове.
- Използвайте уникални пароли. Мениджърът на пароли ви позволява да дадете на всеки акаунт собствена парола, така че едно изтичане да не може да отключи други.
- Включете двуфакторно удостоверяване. Предпочитайте приложение за удостоверяване или хардуерен ключ пред SMS, където е възможно.
- Бъдете скептични към съобщения, които се позовават на минал контакт. Нападателите може да цитират реални подробности от изтекли имейли. Проверете чрез канал, на който вече се доверявате, преди да кликнете или да отговорите.
- Обмислете имейл псевдоним. Използването на отделни адреси за различни организации ограничава това, което едно изтичане разкрива за вас.
- Упражнете правата си по GDPR. Попитайте какви данни съхранява организацията и поискайте изтриване, където е подходящо.
VPN не помага срещу пробив в чужди пощенски сървър, тъй като излагането се случва в организацията. Той остава полезен за защита на собствения ви трафик, но не е решение тук. Излагането на лични медии и идентификационни данни, както при изтичането от ClarityCheck на 9 милиона лицеви изображения, е напомняне, че най-добрите ви защити са да минимизирате това, което споделяте, и да защитавате това, което не можете да си върнете.
Ключови изводи
Изтичането на данни от AfD с 421 000 имейла е напомняне, че вашата поверителност е свързана с навиците на всяка организация, до която пишете. Проверете дали вашият адрес се появява в дъмпове от изтичания, преминете към уникални пароли с двуфакторно удостоверяване на всеки важен акаунт и следете за съобщения, които изглежда знаят твърде много за вас. За да видите как тези стъпки работят на практика, прочетете нашето отразяване на пробива в Gyazo и други скорошни излагания, и проверете отново, когато се появят повече потвърдени подробности за това изтичане.
