471 εκατομμύρια ειδοποιήσεις, ελάχιστες εξηγήσεις: Τι βρήκε η έκθεση

Μια νέα έκθεση έδωσε έναν ιλιγγιώδη αριθμό σε ένα πρόβλημα για το οποίο οι υπέρμαχοι της ιδιωτικότητας προειδοποιούν εδώ και χρόνια: περισσότερες από 471 εκατομμύρια ειδοποιήσεις θυμάτων παραβίασης στάλθηκαν σε μόλις έξι μήνες. Αυτό δεν είναι τυπογραφικό λάθος. Αν ο ρυθμός διατηρηθεί, αντιστοιχεί σε πάνω από μισό δισεκατομμύριο ειδοποιήσεις ετησίως, αγγίζοντας μια κλίμακα του πληθυσμού που είναι δύσκολο να επεξεργαστεί κανείς πλήρως.

Όμως ο όγκος δεν είναι καν το πιο ανησυχητικό σημείο. Σύμφωνα με την έκθεση, οι περισσότερες από αυτές τις ειδοποιήσεις δεν εξήγησαν πώς κατάφεραν οι επιτιθέμενοι να εισβάλουν. Καμία αναφορά για το αν επρόκειτο για email ηλεκτρονικού ψαρέματος (phishing), έναν μη ενημερωμένο διακομιστή, ένα κλεμμένο διαπιστευτήριο ή έναν παραβιασμένο τρίτο προμηθευτή. Μόνο μια αόριστη αναγνώριση ότι συνέβη «μη εξουσιοδοτημένη πρόσβαση», ακολουθούμενη από τυποποιημένες συμβουλές για παρακολούθηση των λογαριασμών σας.

Αυτή είναι η καρδιά του προβλήματος της διαφάνειας στις ειδοποιήσεις παραβίασης δεδομένων. Οι νόμοι στις περισσότερες δικαιοδοσίες απαιτούν από τις εταιρείες να σας πουν ότι συνέβη μια παραβίαση και ποια δεδομένα εκτέθηκαν. Ελάχιστοι απαιτούν να εξηγήσουν πώς συνέβη. Αυτό το κενό αφήνει τους καταναλωτές ανίκανους να κρίνουν αν οι πρακτικές ασφαλείας μιας εταιρείας ήταν λογικές, απερίσκεπτες ή κάπου ενδιάμεσα, και ανίκανους να αξιολογήσουν τον δικό τους πραγματικό κίνδυνο στο μέλλον.

Γιατί οι εταιρείες παραμένουν ασαφείς για τα διανύσματα επίθεσης

Υπάρχουν πρακτικοί και νομικοί λόγοι για τους οποίους οι εταιρείες κρατούν λιτές τις γνωστοποιήσεις παραβίασης. Οι εν εξελίξει έρευνες, οι ενεργές δικαστικές διαμάχες και η έκθεση σε ρυθμιστικούς κινδύνους δίνουν κίνητρο στις νομικές ομάδες να λένε όσο το δυνατόν λιγότερα. Μια εταιρεία που παραδέχεται ότι άφησε μια βάση δεδομένων χωρίς κρυπτογράφηση ή ότι αγνόησε μια γνωστή ευπάθεια λογισμικού δίνει πυρομαχικά στους δικηγόρους των εναγόντων και στις ρυθμιστικές αρχές.

Υπάρχει επίσης ένας υπολογισμός φήμης. Οι λεπτομερείς τεχνικές γνωστοποιήσεις μπορούν να μοιάζουν με παραδοχή ανικανότητας, ενώ η ασαφής γλώσσα όπως «εξελιγμένη επίθεση» ή «μη εξουσιοδοτημένο τρίτο μέρος» ακούγεται περισσότερο ως κακή τύχη παρά ως αμέλεια, ακόμα κι όταν η αλήθεια πλησιάζει περισσότερο το δεύτερο. Οι νόμοι για την ειδοποίηση παραβίασης στις ΗΠΑ διαφέρουν σημαντικά ανά Πολιτεία και οι περισσότεροι θέτουν έναν χαμηλό πήχη: ειδοποιήστε τα επηρεαζόμενα άτομα, περιγράψτε τις κατηγορίες των δεδομένων που εκτέθηκαν και προσφέρετε κάποια μορφή παρακολούθησης πιστωτικής δραστηριότητας. Λίγοι επιβάλλουν μια εξήγηση της βασικής αιτίας και η επιβολή ακόμα και αυτών των βασικών απαιτήσεων είναι ασυνεπής.

Το αποτέλεσμα είναι ένα σύστημα όπου οι εταιρείες ικανοποιούν το γράμμα του νόμου, ενώ δίνουν στους καταναλωτές σχεδόν τίποτα που να μπορούν να χρησιμοποιήσουν για να προστατευτούν ή να καταστήσουν κάποιον υπόλογο.

Πρόσφατες παραβιάσεις δείχνουν το μοτίβο να επαναλαμβάνεται

Αυτό δεν είναι μια αφηρημένη τάση. Εμφανίζεται σε παραβίαση μετά την παραβίαση που γίνονται πρωτοσέλιδα. Η παραβίαση δεδομένων της Humana που επηρέασε πελάτες σε έξι Πολιτείες περιλάμβανε μερικές από τις πιο ευαίσθητες πληροφορίες που έχουν οι άνθρωποι, ιατρικά αρχεία, ωστόσο οι δημόσιες λεπτομέρειες σχετικά με τη μέθοδο επίθεσης ήταν περιορισμένες. Η παραβίαση της Novo Nordisk, όπου επιτιθέμενοι ισχυρίστηκαν ότι έκλεψαν 1,3 terabyte δεδομένων κλινικών δοκιμών, άφησε παρομοίως πολλά ερωτήματα για το σημείο εισβολής αναπάντητα στις δημόσιες δηλώσεις.

Το μοτίβο εκτείνεται πέρα από την υγειονομική περίθαλψη και τα φάρμακα. Η παραβίαση δεδομένων της Odido εξέθεσε 6,2 εκατομμύρια εγγραφές, συμπεριλαμβανομένων στοιχείων τραπεζικών λογαριασμών, και ακόμα και η παραβίαση του Φεστιβάλ Κινηματογράφου Tribeca που άγγιξε διασήμους παρευρισκόμενους ακολούθησε το γνωστό σενάριο: επιβεβαίωση ότι τα δεδομένα εκτέθηκαν, διαβεβαίωση ότι το θέμα ερευνάται και ελάχιστα άλλα. Σε όλους τους κλάδους και τις ηπείρους, το εγχειρίδιο γνωστοποίησης μοιάζει εξαιρετικά συνεπές και εξαιρετικά φτωχό.

Πώς να προστατευτείτε όταν οι λεπτομέρειες αποκρύπτονται

Δεδομένου ότι γενικά δεν μπορείτε να βασιστείτε σε μια εταιρεία για να σας πει ακριβώς πώς εκτέθηκαν τα δεδομένα σας, η πιο χρήσιμη ερώτηση είναι τι μπορείτε να ελέγξετε ανεξάρτητα από την εξήγηση που σας δίνεται.

Ξεκινήστε με την υγιεινή των διαπιστευτηρίων. Αν επαναχρησιμοποιείτε κωδικούς πρόσβασης σε διάφορους ιστότοπους, μια παραβίαση σε μια εταιρεία γίνεται παραβίαση παντού όπου χρησιμοποιήσατε τον ίδιο κωδικό. Ένας διαχειριστής κωδικών πρόσβασης που δημιουργεί μοναδικά διαπιστευτήρια για κάθε λογαριασμό εξαλείφει αυτόν τον κίνδυνο σχεδόν εντελώς. Συνδυάστε το με έλεγχο ταυτότητας πολλαπλών παραγόντων όπου αυτός προσφέρεται, αφού μπλοκάρει τις περισσότερες απόπειρες κατάληψης λογαριασμού ακόμα και όταν ένας κωδικός πρόσβασης διαρρεύσει.

Παρακολουθείτε ενεργά τους λογαριασμούς και την πιστοληπτική σας δραστηριότητα αντί να περιμένετε να φτάσει μια ειδοποίηση. Οι ειδοποιήσεις παραβίασης συχνά καθυστερούν μήνες σε σχέση με το πραγματικό συμβάν, οπότε μέχρι να ενημερωθείτε, μπορεί να έχει ήδη ξεκινήσει ασυνήθιστη δραστηριότητα. Πολλές τράπεζες και πιστωτικά γραφεία προσφέρουν δωρεάν ειδοποιήσεις για νέα ανοίγματα λογαριασμών ή ασυνήθιστες χρεώσεις· ενεργοποιήστε τες.

Να είστε δύσπιστοι απέναντι στην ασαφή γλώσσα ειδοποίησης. Αν μια επιστολή λέει «μη εξουσιοδοτημένη πρόσβαση» χωρίς λεπτομέρειες, αντιμετωπίστε το ως σήμα για να παγώσετε την πίστωσή σας ή να τοποθετήσετε μια ειδοποίηση απάτης αντί ως λόγο να χαλαρώσετε. Και σκεφτείτε ότι καθώς τα συστήματα ψηφιακής ταυτότητας επεκτείνονται, τα διακυβεύματα γύρω από το τι συγκεντρώνεται κεντρικά και πόσο καλά προστατεύεται θα αυξάνονται, καθιστώντας την προσωπική επαγρύπνηση ακόμα πιο σημαντική στο μέλλον.

Τι σημαίνει αυτό για εσάς

Το βασικό δίδαγμα από αυτήν την έκθεση είναι ότι η διαφάνεια στις ειδοποιήσεις παραβίασης δεδομένων είναι επί του παρόντος κυρίως φιλοδοξία και όχι ένα αξιόπιστο πρότυπο. Οι εταιρείες είναι νομικά υποχρεωμένες να σας πουν ότι συνέβη μια παραβίαση, αλλά όχι να σας πουν γιατί συνέβη ή πώς θα μπορούσε να είχε αποτραπεί. Αυτό σημαίνει ότι η ευθύνη για τη μείωση της δικής σας έκθεσης βαραίνει δυσανάλογα εσάς.

Αυτό δεν είναι λόγος πανικού. Είναι λόγος για μια αλλαγή νοοτροπίας: αντιμετωπίστε κάθε λογαριασμό ως πιθανό μελλοντικό θύμα παραβίασης, όχι μόνο εκείνους που σας έχουν ήδη στείλει ειδοποίηση. Χρησιμοποιήστε μοναδικούς κωδικούς πρόσβασης, ενεργοποιήστε τον έλεγχο ταυτότητας πολλαπλών παραγόντων, παρακολουθείτε τακτικά τους οικονομικούς σας λογαριασμούς και μην περιμένετε μια εταιρική γνωστοποίηση για να σας πει ότι είναι ώρα να δράσετε.

Ενεργείτε:

  • Ελέγξτε τους κωδικούς πρόσβασής σας και μεταβείτε σε έναν διαχειριστή κωδικών αν επαναχρησιμοποιείτε διαπιστευτήρια σε ιστότοπους.
  • Ενεργοποιήστε τον έλεγχο ταυτότητας πολλαπλών παραγόντων για email, τραπεζικές συναλλαγές και κάθε λογαριασμό που περιέχει ευαίσθητα δεδομένα.
  • Ρυθμίστε δωρεάν ειδοποιήσεις παρακολούθησης λογαριασμών και πιστοληπτικής δραστηριότητας αντί να περιμένετε μια ειδοποίηση παραβίασης.
  • Αντιμετωπίστε την ασαφή γλώσσα παραβίασης («μη εξουσιοδοτημένη πρόσβαση», «εξελιγμένη επίθεση») ως προτροπή για πάγωμα πίστωσης, όχι ως λόγο να αγνοήσετε τον κίνδυνο.
  • Παρακολουθείτε την κάλυψη παραβιάσεων για εταιρείες που χρησιμοποιείτε, ώστε να μπορείτε να δράσετε για συμβάντα πριν καν φτάσει μια επίσημη ειδοποίηση.