Únik dat AfD v podobě 421 000 e-mailů poskytl veřejnosti neobvyklý pohled do nitra německé politické strany. Podle heise online strana „Alternativa pro Německo“ zřejmě utrpěla narušení bezpečnosti a přibližně 421 000 e-mailů bylo zveřejněno. Titulek zprávy se rovněž zmiňuje o nezákonně zkopírovaných souborech. Velká část zpravodajství se zaměří na to, co zprávy o straně prozrazují. Tento článek volí jiný úhel pohledu: co tento druh úniku znamená pro obyčejné lidi, kteří se objevují v cizí schránce.
Poznámka k rozsahu: zdrojový článek je stručný a mnoho podrobností, jako například jak byla data získána, kdo je zveřejnil a co přesně e-maily obsahují, není v materiálu, který máme k dispozici, objasněno. Držíme se toho, co bylo reportováno, a vysvětlujeme obecná rizika, která vyplývají z jakéhokoli velkého úniku e-mailů.
Co bylo zveřejněno při úniku e-mailů AfD
Základní fakta jsou omezená. Strana zřejmě utrpěla narušení dat a přibližně 421 000 e-mailů bylo zveřejněno. Heise popisuje materiál jako nabízející pohled do nitra strany. Slovo „zřejmě“ je důležité: o narušení bylo reportováno, ale čtenáři by měli zacházet s dalšími tvrzeními kolujícími online opatrně, dokud je strana, vyšetřovatelé nebo spolehlivá média nepotvrdí.
E-mailové archivy patří k nejprozrazujícím druhům uniklých dat. Na rozdíl od databáze uživatelských jmen obsahuje poštovní schránka volně psané konverzace, přílohy, přeposlané dokumenty, podpisy s telefonními čísly a plné hlavičky ukazující, kdo komu a kdy psal. I když jen zlomek ze 421 000 zpráv obsahuje citlivý materiál, objem způsobuje, že nikdo nemůže předem vědět, co se tam nachází.
Kdo je kromě samotné strany vystaven riziku
Lidé, kteří jsou nejpravděpodobněji postiženi, nemusí být nutně vedení strany. V archivu se může objevit kdokoli, kdo s organizací komunikoval: členové, kteří posílali přihlášky nebo otázky, dárci, účastníci akcí, novináři, dodavatelé, místní úředníci a příslušníci veřejnosti, kteří psali se stížnostmi nebo názory. Žádný z nich nekontroloval, jak strana ukládala nebo chránila svou poštu.
To je ústřední ponaučení z organizačních úniků. Vaše expozice závisí na bezpečnostních praktikách každé skupiny, se kterou komunikujete, nejen na vašich vlastních. Člověk, který napsal jedinou zprávu politické straně, může mít nyní své jméno, e-mailovou adresu a jakékoli podrobnosti v této zprávě ve veřejném dumpu.
V politickém kontextu mohou být sázky vyšší než u typického komerčního úniku. Spojení se stranou může být citlivé a zveřejněná korespondence může vést k obtěžování, doxxingu nebo cílenému phishingu. Podvodníci také mají tendenci znovu používat uniklé kontaktní údaje k vytváření přesvědčivých zpráv odkazujících na skutečné konverzace. Stejný vzorec sekundární újmy se objevuje i v dalších incidentech, které jsme pokryli, jako je únik dat Gyazo, který odhalil 23,6 milionu uživatelských záznamů, kde skutečné riziko pro jednotlivce pramenilo z toho, co ostatní mohli s uniklými daty následně udělat.
Povinnosti podle GDPR pro stranu a práva postižených osob
Protože strana působí v Německu, relevantním rámcem je obecné nařízení EU o ochraně osobních údajů (GDPR). Podle GDPR musí organizace, která utrpí narušení osobních údajů, obecně bez zbytečného odkladu oznámit incident příslušnému dozorovému úřadu, a pokud je to proveditelné, do 72 hodin od okamžiku, kdy se o něm dozvěděla, pokud narušení pravděpodobně neohrozí osoby. Pokud je riziko pro jednotlivce vysoké, musí organizace také přímo informovat postižené. Politické názory jsou podle nařízení považovány za zvláštní kategorii osobních údajů, což zvyšuje úroveň ochrany a dohledu.
Ze zdrojového článku nemáme potvrzení o tom, zda byla oznámení provedena, takže nemůžeme říci, zda strana tyto povinnosti splnila. Co můžeme popsat, jsou práva, která lidé mají:
- Právo na přístup: můžete požádat organizaci, aby vám sdělila, zda zpracovává vaše osobní údaje, a požádat o kopii.
- Právo na výmaz: v mnoha případech můžete požádat o výmaz svých údajů.
- Právo podat stížnost: můžete podat stížnost u úřadu pro ochranu osobních údajů, pokud se domníváte, že s vašimi údaji bylo zacházeno nesprávně.
- Právo na náhradu škody: GDPR umožňuje jednotlivcům domáhat se náhrady majetkové i nemajetkové újmy způsobené porušením předpisů.
Pokud jste někdy byli v kontaktu se stranou, podání žádosti o přístup je rozumný způsob, jak zjistit, jaké údaje o vás má.
Co to znamená pro vás
Nemusíte být členem strany, abyste byli zasaženi takovým únikem. Pokud jste psali, darovali nebo se registrovali u jakékoli organizace, která byla napadena, předpokládejte, že podrobnosti v těchto zprávách mohou být nyní veřejné. Praktická rizika představují phishing, vydávání se za jinou osobu a nechtěná pozornost, nikoli okamžité převzetí účtu, pokud ovšem nebylo e-mailem zasláno heslo nebo přihlašovací odkaz.
Poslední bod si zaslouží pozornost. Staré e-maily často obsahují odkazy pro obnovení hesla, sdílené přihlašovací údaje nebo čísla účtů. Pokud jste někdy takové údaje v korespondenci s postiženou organizací poslali nebo obdrželi, považujte je za kompromitované. Velké dumpy interních dat, jako ten popsaný v naší zprávě o 12TB Teraleaku Valve, ukazují, jak dlouho zapomenutý materiál může po letech znovu vyplout na povrch.
Jak se chránit po organizačním úniku
Nemůžete opravit něčí bezpečnost, ale můžete omezit škody na své straně:
- Zkontrolujte databáze úniků. Vyhledejte svou e-mailovou adresu ve spolehlivé službě pro oznámení úniků a zjistěte, zda se objevuje ve známých dumpech.
- Používejte jedinečná hesla. Správce hesel vám umožní dát každému účtu vlastní heslo, takže jeden únik nemůže odemknout ostatní.
- Zapněte dvoufaktorové ověřování. Kde je to možné, upřednostněte autentizační aplikaci nebo hardwarový klíč před SMS.
- Buďte skeptičtí ke zprávám odkazujícím na minulý kontakt. Útočníci mohou citovat skutečné podrobnosti z uniklých e-mailů. Před kliknutím nebo odpovědí si ověřte informace kanálem, kterému již důvěřujete.
- Zvažte e-mailový alias. Používání samostatných adres pro různé organizace omezuje, co o vás jeden únik prozradí.
- Uplatněte svá práva podle GDPR. Zeptejte se, jaké údaje organizace uchovává, a případně požádejte o výmaz.
VPN nepomůže proti narušení cizího poštovního serveru, protože k expozici dochází u organizace. Zůstává užitečná pro ochranu vašeho vlastního provozu, ale zde není řešením. Expozice osobních médií a identifikačních údajů, jako v případě úniku ClarityCheck s 9 miliony obličejových snímků, je připomínkou, že vaší nejlepší obranou je minimalizovat to, co sdílíte, a zabezpečit to, co nemůžete vzít zpět.
Klíčové poznatky
Únik dat AfD v podobě 421 000 e-mailů je připomínkou, že vaše soukromí je svázáno s návyky každé organizace, které píšete. Zkontrolujte, zda se vaše adresa objevuje v dumpech úniků, přejděte na jedinečná hesla s dvoufaktorovým ověřováním u každého důležitého účtu a dávejte pozor na zprávy, které toho o vás zdánlivě vědí příliš mnoho. Chcete-li vidět, jak tyto kroky fungují v praxi, přečtěte si naše pokrytí úniku Gyazo a dalších nedávných expozic a vraťte se, až se objeví více ověřených podrobností o tomto úniku.
