Et stort brud hos en forsyningsvirksomhed rejser nye spørgsmål om datasikkerhed

For tre uger siden bekræftede Origin Energy, en af Australiens største energiforhandlere, at cirka 900.000 nuværende og tidligere kunder havde fået deres personlige oplysninger tilgået uden tilladelse. Virksomheden slog først alarm om en mulig sikkerhedshændelse i slutningen af juli, og omfanget af bruddet er kun blevet tydeligere siden da. For en organisation, der opbevarer følsomme konto-, fakturerings- og identitetsoplysninger for millioner af husstande, er en hændelse af denne størrelse en alvorlig vækker – ikke kun for Origins kunder, men for alle, der overdrager personlige data til en forsyningsvirksomhed, bank eller tjenesteudbyder.

Det, der gør dette brud særligt bekymrende for cybersikkerhedseksperter, er ikke kun antallet af berørte personer. Det er, hvad hændelsen afslører om, hvordan længe gemte kundedata – herunder data fra personer, der ikke har brugt en tjeneste i årevis – forbliver sårbare længe efter, at de tror, at deres forhold til virksomheden er ophørt. Tidligere kunder, som måske har lukket deres Origin-konti for år tilbage, er nu blandt dem, hvis data potentielt blev eksponeret – en detalje, der understreger et bredere problem med, hvordan virksomheder opbevarer og sikrer personoplysninger over tid.

Hvorfor dette brud bekymrer eksperter

Forsyningsselskaber som Origin Energy indtager en unik position i dataøkosystemet. De indsamler en bred vifte af personlige oplysninger, herunder navne, adresser, kontaktoplysninger, faktureringshistorik og i nogle tilfælde identitetsdokumenter, som alt sammen kan sammensættes til en temmelig komplet profil af en person. I modsætning til en enkelt lækket adgangskode er denne form for strukturerede persondata ofte mere værdifuld for ondsindede aktører, fordi de kan bruges til identitetstyveri, målrettet phishing eller svindel, som er sværere for ofrene at opdage hurtigt.

Tidsforløbet i Origin-sagen har også betydning. Afstanden i tid mellem, hvornår et muligt sikkerhedsproblem først identificeres, og hvornår offentligheden får en fuldstændig redegørelse for, hvem der er berørt, kan efterlade kunderne i uvished om, hvordan de skal beskytte sig selv. Dette er et tilbagevendende tema ved store brud: Organisationer har ofte brug for tid til at undersøge omfanget af uautoriseret adgang, men den samme forsinkelse kan være kostbar for enkeltpersoner, som ellers kunne have taget øjeblikkelige skridt til at sikre deres konti eller holde øje med mistænkelig aktivitet.

Brud, der involverer store mængder persondata, er ikke unikke for energisektoren. Lignende bekymringer er opstået omkring følsomme institutionelle data andre steder, såsom DRDO-bruddet, der involverer 31 GB forsvarsdata udbudt på det mørke net, som viser, hvordan angribere i stigende grad retter sig mod store datalagre – uanset om de opbevares af offentlige myndigheder eller private virksomheder – på grund af deres enorme volumen og videresalgsværdi.

Hvad vi har lært om datasikkerhed siden lækagen

I ugerne efter Origin Energys offentliggørelse er nogle få erfaringer blevet tydeligere. For det første: Virksomheder, der opbevarer kundedata i længere perioder, herunder data tilhørende tidligere kunder, er nødt til at genoverveje, hvor længe de reelt har brug for at gemme disse oplysninger. Data, der ikke aktivt er nødvendige for forretningsdriften, er data, der ikke behøver at blive opbevaret, og hver eneste ekstra post, der gemmes, er endnu en potentiel eksponeringsrisiko.

For det andet har denne hændelse understreget, hvor vigtig åbenhed og hurtighed er i reaktionen på et brud. Kunder vil hurtigt vide, om de er berørt, og præcis hvilke oplysninger der er involveret – ikke vage forsikringer om, at en undersøgelse er i gang. Origin-sagen har vist, at offentlighedens tillid hurtigt mindskes, når detaljerne lader vente på sig, selv hvis virksomheden bag kulisserne følger en metodisk undersøgelsesproces.

For det tredje – og måske vigtigst for almindelige forbrugere – er dette brud en påmindelse om, at ingen enkelt virksomhed, uanset størrelse eller ressourcer, er immun over for uautoriseret adgang. Den kendsgerning flytter en del af ansvaret for databeskyttelse over på den enkelte, især når det gælder at overvåge konti, bruge unikke adgangskoder og være opmærksom på phishing-forsøg, som ofte følger efter højtprofilerede brud.

Hvad det betyder for dig

Hvis du er nuværende eller tidligere kunde hos Origin Energy, eller blot en person, der bruger tjenester, der opbevarer persondata, er der praktiske skridt, der er værd at tage. Tjek, om du har modtaget direkte kommunikation fra Origin om bruddet, og følg eventuel specifik vejledning, de har givet. Vær på vagt over for uopfordrede e-mails, sms’er eller opkald, der hævder at være fra Origin Energy i kølvandet på bruddet, da svindlere ofte udnytter sådanne situationer til at køre phishing-kampagner. Gennemgå dine kreditrapporter med jævne mellemrum, og overvej at oprette alarmer, hvis du er bekymret for misbrug af din identitet.

Mere overordnet er dette et godt tidspunkt at tænke over dit eget digitale fodaftryk. Er der gamle konti hos forsyningsselskaber, detailhandlere eller abonnementstjenester, som du ikke længere bruger, men som du aldrig formelt har lukket? Databrud som dette viser, hvorfor oprydning i ubrugte konti og anmodning om sletning af unødvendige persondata over tid kan reducere din eksponering betydeligt.

Hovedpointer

Origin Energy-databruddet, der berører 900.000 kunder, er en påmindelse om, at persondata ikke holder op med at være værdifulde – eller sårbare – når du stopper med at bruge en tjeneste. Brug et par minutter i denne uge på at gennemgå dine egne konti: Luk dem, du ikke længere har brug for, opdater adgangskoder på dem, du bruger, og vær opmærksom på phishing-forsøg i forbindelse med nyheder om brud. Datasikkerhed er ikke en engangsløsning, men en løbende vane, og hændelser som denne er en nyttig anledning til at genopfriske din.