Η παραβίαση δεδομένων της AfD με 421.000 email έχει δώσει στο κοινό μια ασυνήθιστη ματιά στο εσωτερικό ενός γερμανικού πολιτικού κόμματος. Σύμφωνα με το heise online, το κόμμα «Εναλλακτική για τη Γερμανία» φέρεται να υπέστη παραβίαση, και περίπου 421.000 email δημοσιεύτηκαν. Ο τίτλος του ρεπορτάζ αναφέρεται επίσης σε παράνομα αντιγραμμένα αρχεία. Μεγάλο μέρος της κάλυψης θα επικεντρωθεί στο τι αποκαλύπτουν τα μηνύματα για το κόμμα. Αυτό το άρθρο υιοθετεί διαφορετική οπτική: τι σημαίνει μια διαρροή αυτού του είδους για τους απλούς ανθρώπους που εμφανίζονται στα εισερχόμενα κάποιου άλλου.

Μια σημείωση για το εύρος: το άρθρο πηγής είναι σύντομο, και πολλές λεπτομέρειες, όπως το πώς ελήφθησαν τα δεδομένα, ποιος τα δημοσίευσε και τι ακριβώς περιέχουν τα email, δεν τεκμηριώνονται στο υλικό που έχουμε. Μένουμε σε ό,τι έχει αναφερθεί και εξηγούμε τους γενικούς κινδύνους που προκύπτουν από οποιαδήποτε μεγάλη διαρροή email.

Τι δημοσιεύτηκε στη διαρροή email της AfD

Τα βασικά γεγονότα είναι περιορισμένα. Το κόμμα φέρεται να υπέστη παραβίαση δεδομένων, και περίπου 421.000 email δημοσιοποιήθηκαν. Το Heise περιγράφει το υλικό ως προσφέρον μια ματιά στο εσωτερικό του κόμματος. Η λέξη «φέρεται» έχει σημασία: η παραβίαση έχει αναφερθεί, αλλά οι αναγνώστες θα πρέπει να αντιμετωπίζουν με προσοχή περαιτέρω ισχυρισμούς που κυκλοφορούν online έως ότου το κόμμα, οι ερευνητές ή αξιόπιστα μέσα τα επιβεβαιώσουν.

Τα αρχεία email είναι από τους πιο αποκαλυπτικούς τύπους διαρρευσμένων δεδομένων. Σε αντίθεση με μια βάση δεδομένων ονομάτων χρηστών, ένα γραμματοκιβώτιο περιέχει συνομιλίες ελεύθερου κειμένου, συνημμένα, προωθημένα έγγραφα, υπογραφές με αριθμούς τηλεφώνου και τις πλήρεις κεφαλίδες που δείχνουν ποιος έγραψε σε ποιον και πότε. Ακόμη και αν μόνο ένα κλάσμα των 421.000 μηνυμάτων περιέχει ευαίσθητο υλικό, ο όγκος καθιστά δύσκολο για οποιονδήποτε να γνωρίζει εκ των προτέρων τι υπάρχει εκεί.

Ποιοι εκτίθενται πέρα από το ίδιο το κόμμα

Οι άνθρωποι που είναι πιθανότερο να επηρεαστούν δεν είναι απαραίτητα οι ηγέτες του κόμματος. Οποιοσδήποτε αλληλογραφούσε με τον οργανισμό θα μπορούσε να εμφανιστεί στο αρχείο: μέλη που έστελναν αιτήσεις ή ερωτήσεις, δωρητές, συμμετέχοντες σε εκδηλώσεις, δημοσιογράφοι, προμηθευτές, τοπικοί αξιωματούχοι και μέλη του κοινού που έγραφαν με παράπονα ή απόψεις. Κανείς από αυτούς δεν έλεγχε πώς το κόμμα αποθήκευε ή προστάτευε την αλληλογραφία του.

Αυτό είναι το κεντρικό δίδαγμα των οργανωτικών παραβιάσεων. Η έκθεσή σας εξαρτάται από τις πρακτικές ασφαλείας κάθε ομάδας με την οποία επικοινωνείτε, όχι μόνο από τις δικές σας. Ένα άτομο που έγραψε ένα μόνο μήνυμα σε ένα πολιτικό κόμμα μπορεί τώρα να έχει το όνομά του, τη διεύθυνση email του και οποιεσδήποτε λεπτομέρειες σε εκείνο το μήνυμα να βρίσκονται σε μια δημόσια διαρροή.

Σε πολιτικό πλαίσιο τα διακυβεύματα μπορεί να είναι υψηλότερα από ό,τι σε μια τυπική εμπορική διαρροή. Η σύνδεση με ένα κόμμα μπορεί να είναι ευαίσθητη, και η δημοσιευμένη αλληλογραφία μπορεί να οδηγήσει σε παρενόχληση, doxxing ή στοχευμένο phishing. Οι απατεώνες επίσης τείνουν να επαναχρησιμοποιούν διαρρευσμένες λεπτομέρειες επικοινωνίας για να δημιουργούν πειστικά μηνύματα που αναφέρονται σε πραγματικές συνομιλίες. Το ίδιο μοτίβο δευτερογενούς βλάβης εμφανίζεται και σε άλλα περιστατικά που έχουμε καλύψει, όπως η παραβίαση δεδομένων της Gyazo που εξέθεσε 23,6 εκατομμύρια αρχεία χρηστών, όπου ο πραγματικός κίνδυνος για τα άτομα προήλθε από το τι μπορούσαν να κάνουν άλλοι με τα διαρρευσμένα δεδομένα στη συνέχεια.

Υποχρεώσεις GDPR για το κόμμα και δικαιώματα για τα επηρεαζόμενα άτομα

Επειδή το κόμμα δραστηριοποιείται στη Γερμανία, ο Γενικός Κανονισμός για την Προστασία Δεδομένων της ΕΕ είναι το σχετικό πλαίσιο. Βάσει του GDPR, ένας οργανισμός που υφίσταται παραβίαση δεδομένων προσωπικού χαρακτήρα γενικά πρέπει να ειδοποιεί την αρμόδια εποπτική αρχή χωρίς αδικαιολόγητη καθυστέρηση, και όπου είναι εφικτό εντός 72 ωρών από τη στιγμή που λαμβάνει γνώση, εκτός εάν η παραβίαση είναι απίθανο να θέσει σε κίνδυνο άτομα. Εάν ο κίνδυνος για τα άτομα είναι υψηλός, ο οργανισμός πρέπει επίσης να ενημερώνει απευθείας τους επηρεαζόμενους. Οι πολιτικές απόψεις αντιμετωπίζονται ως ειδική κατηγορία δεδομένων προσωπικού χαρακτήρα βάσει του κανονισμού, γεγονός που αυξάνει το επίπεδο προστασίας και ελέγχου.

Δεν έχουμε επιβεβαίωση από το άρθρο πηγής για το εάν έχουν γίνει ειδοποιήσεις, επομένως δεν μπορούμε να πούμε εάν το κόμμα έχει εκπληρώσει αυτές τις υποχρεώσεις. Αυτό που μπορούμε να περιγράψουμε είναι τα δικαιώματα που έχουν οι άνθρωποι:

  • Δικαίωμα πρόσβασης: μπορείτε να ρωτήσετε έναν οργανισμό εάν κατέχει τα προσωπικά σας δεδομένα και να ζητήσετε αντίγραφο.
  • Δικαίωμα διαγραφής: σε πολλές περιπτώσεις μπορείτε να ζητήσετε τη διαγραφή των δεδομένων σας.
  • Δικαίωμα καταγγελίας: μπορείτε να υποβάλετε καταγγελία σε μια αρχή προστασίας δεδομένων εάν πιστεύετε ότι τα δεδομένα σας έτυχαν κακής διαχείρισης.
  • Δικαίωμα αποζημίωσης: ο GDPR επιτρέπει σε άτομα να διεκδικήσουν αποζημίωση για υλική ή μη υλική ζημία που προκλήθηκε από παραβάσεις.

Εάν έχετε ποτέ επικοινωνήσει με το κόμμα, η αποστολή αιτήματος πρόσβασης είναι ένας λογικός τρόπος να μάθετε τι κατέχουν για εσάς.

Τι Σημαίνει Αυτό Για Εσάς

Δεν χρειάζεται να είστε μέλος κόμματος για να σας αγγίξει μια τέτοια διαρροή. Εάν έχετε γράψει, δωρίσει ή εγγραφεί σε οποιονδήποτε οργανισμό που έχει παραβιαστεί, υποθέστε ότι οι λεπτομέρειες σε εκείνα τα μηνύματα μπορεί τώρα να είναι δημόσιες. Οι πρακτικοί κίνδυνοι είναι το phishing, η πλαστοπροσωπία και η ανεπιθύμητη προσοχή, παρά η άμεση κατάληψη λογαριασμού, εκτός εάν ένας κωδικός πρόσβασης ή σύνδεσμος σύνδεσης στάλθηκε μέσω email.

Το τελευταίο σημείο αξίζει προσοχή. Τα παλιά email συχνά περιέχουν συνδέσμους επαναφοράς κωδικού πρόσβασης, κοινόχρηστα διαπιστευτήρια ή αριθμούς λογαριασμών. Εάν ποτέ στείλατε ή λάβατε τέτοιες λεπτομέρειες σε αλληλογραφία με τον επηρεαζόμενο οργανισμό, θεωρήστε τις ως εκτεθειμένες. Μεγάλες διαρροές εσωτερικών δεδομένων, όπως αυτή που περιγράφεται στην αναφορά μας για το Teraleak 12TB της Valve, δείχνουν πόσο υλικό που έχει από καιρό ξεχαστεί μπορεί να επανεμφανιστεί χρόνια αργότερα.

Πώς να προστατευτείτε μετά από οργανωτική παραβίαση

Δεν μπορείτε να διορθώσετε την ασφάλεια κάποιου άλλου, αλλά μπορείτε να περιορίσετε τη ζημία από την πλευρά σας:

  1. Ελέγξτε βάσεις δεδομένων παραβιάσεων. Αναζητήστε τη διεύθυνση email σας σε μια αξιόπιστη υπηρεσία ειδοποίησης παραβιάσεων για να δείτε εάν εμφανίζεται σε γνωστές διαρροές.
  2. Χρησιμοποιήστε μοναδικούς κωδικούς πρόσβασης. Ένας διαχειριστής κωδικών πρόσβασης σάς επιτρέπει να δίνετε σε κάθε λογαριασμό τον δικό του κωδικό, ώστε μια διαρροή να μην μπορεί να ξεκλειδώσει άλλους.
  3. Ενεργοποιήστε τον έλεγχο ταυτότητας δύο παραγόντων. Προτιμήστε μια εφαρμογή ελέγχου ταυτότητας ή ένα κλειδί υλικού αντί για SMS όπου είναι δυνατόν.
  4. Να είστε δύσπιστοι απέναντι σε μηνύματα που αναφέρονται σε προηγούμενη επαφή. Οι επιτιθέμενοι μπορεί να παραθέτουν πραγματικές λεπτομέρειες από διαρρευσμένα email. Επαληθεύστε μέσω ενός καναλιού που ήδη εμπιστεύεστε πριν κάνετε κλικ ή απαντήσετε.
  5. Σκεφτείτε ένα ψευδώνυμο email. Η χρήση ξεχωριστών διευθύνσεων για διαφορετικούς οργανισμούς περιορίζει το τι αποκαλύπτει μια μεμονωμένη διαρροή για εσάς.
  6. Ασκήστε τα δικαιώματά σας βάσει GDPR. Ρωτήστε ποια δεδομένα κατέχει ο οργανισμός και ζητήστε διαγραφή όπου είναι σκόπιμο.

Ένα VPN δεν βοηθά against a breach of someone else's mail server, since the exposure happens at the organization. Παραμένει χρήσιμο για την προστασία της δικής σας κίνησης, αλλά δεν είναι θεραπεία εδώ. Η έκθεση προσωπικών μέσων και δεδομένων ταυτότητας, όπως στη διαρροή ClarityCheck 9 εκατομμυρίων εικόνων προσώπων, είναι μια υπενθύμιση ότι οι καλύτερες άμυνές σας είναι να ελαχιστοποιείτε αυτό που μοιράζεστε και να ασφαλίζετε αυτό που δεν μπορείτε να πάρετε πίσω.

Βασικά συμπεράσματα

Η παραβίαση δεδομένων της AfD με 421.000 email είναι μια υπενθύμιση ότι το απόρρητό σας συνδέεται με τις συνήθειες κάθε οργανισμού στον οποίο γράφετε. Ελέγξτε εάν η διεύθυνσή σας εμφανίζεται σε διαρροές παραβιάσεων, μεταβείτε σε μοναδικούς κωδικούς πρόσβασης με έλεγχο ταυτότητας δύο παραγόντων σε κάθε σημαντικό λογαριασμό και προσέξτε για μηνύματα που φαίνεται να γνωρίζουν πάρα πολλά για εσάς. Για να δείτε πώς λειτουργούν αυτά τα βήματα στην πράξη, διαβάστε την κάλυψή μας για την παραβίαση της Gyazo και άλλες πρόσφατες εκθέσεις, και επιστρέψτε καθώς προκύπτουν περισσότερες επαληθευμένες λεπτομέρειες για αυτή τη διαρροή.