471 milijuna obavijesti, malo objašnjenja: što je izvješće otkrilo

Novo izvješće donosi zapanjujuću brojku o problemu na koji zagovornici privatnosti upozoravaju godinama: u samo šest mjeseci poslano je više od 471 milijun obavijesti žrtvama povreda podataka. To nije pogreška pri upisu. Ako se ovakav tempo nastavi, godišnje će se slati znatno više od pola milijarde obavijesti, zahvaćajući toliki dio populacije da je to teško u potpunosti sagledati.

No, obim nije ni najzabrinjavajući dio. Prema izvješću, većina tih obavijesti nije objasnila kako su napadači zapravo ušli. Nema spominjanja je li riječ o phishing poruci, nezakrpanom poslužitelju, ukradenim vjerodajnicama ili kompromitiranom dobavljaču treće strane. Samo nejasno priznanje da je došlo do "neovlaštenog pristupa", popraćeno generičkim savjetom da nadzirete svoje račune.

Upravo je ovo srž problema transparentnosti obavijesti o povredi podataka. Zakoni u većini jurisdikcija zahtijevaju da vam tvrtke kažu da je došlo do povrede i koji su podaci bili izloženi. Vrlo ih malo obvezuje da objasne kako se to dogodilo. Zbog te praznine potrošači ne mogu procijeniti jesu li sigurnosne prakse neke tvrtke bile razumne, neodgovorne ili negdje između, niti mogu procijeniti vlastiti stvarni rizik u budućnosti.

Zašto tvrtke ostaju neodređene u vezi vektora napada

Postoje praktični i pravni razlozi zašto tvrtke obavijesti o povredama drže šturima. Istraga koja je u tijeku, aktivni sudski postupci i izloženost regulatornim kaznama potiču pravne timove da kažu što je manje moguće. Tvrtka koja prizna da je bazu podataka ostavila nešifriranu ili da je zanemarila poznatu ranjivost softvera daje oružje u ruke odvjetnicima podnositelja tužbi i regulatorima.

Tu je i reputacijska računica. Detaljne tehničke objave mogu izgledati kao priznanje nesposobnosti, dok neodređen jezik poput "sofisticirani napad" ili "neovlaštena treća strana" više zvuči kao loša sreća nego nemar, čak i kada je istina bliža ovom drugom. Zakoni o obavještavanju o povredama podataka u SAD-u značajno se razlikuju od države do države, a većina postavlja nisku letvicu: obavijestite pogođene pojedince, opišite kategorije izloženih podataka i ponudite neki oblik nadzora kreditne sposobnosti. Malo njih nalaže objašnjenje osnovnog uzroka, a provedba čak i tih minimalnih zahtjeva je nedosljedna.

Rezultat je sustav u kojem tvrtke zadovoljavaju slovo zakona, dok potrošačima ne daju gotovo ništa čime bi se mogli zaštititi ili pozvati ikoga na odgovornost.

Nedavne povrede pokazuju da se obrazac ponavlja

Ovo nije apstraktan trend. Pojavljuje se u povredi za povredom koje dospijevaju na naslovnice. Humana data breach koja je pogodila korisnike u šest država uključivala je neke od najosjetljivijih informacija koje ljudi imaju – zdravstvene kartone – no javni detalji o metodi napada bili su ograničeni. Novo Nordisk breach, gdje su napadači tvrdili da su ukrali 1,3 terabajta podataka iz kliničkih ispitivanja, također je ostavio mnoga pitanja o točki upada neodgovorenima u javnim izjavama.

Obrazac se proteže i izvan zdravstva i farmacije. Odido data breach izložila je 6,2 milijuna zapisa, uključujući bankovne podatke, a čak je i Tribeca Film Festival breach koji je dotaknuo visokoprofilirane uzvanike slijedio poznati scenarij: potvrda da su podaci izloženi, uvjeravanje da se slučaj istražuje i malo toga više. Bez obzira na industriju i kontinent, obrazac objavljivanja izgleda nevjerojatno dosljedno – i nevjerojatno oskudno.

Kako se zaštititi kada detalji izostaju

Budući da se općenito ne možete pouzdati u to da će vam tvrtka točno reći kako su vaši podaci izloženi, korisnije je pitanje što možete kontrolirati bez obzira na objašnjenje koje dobijete.

Počnite s higijenom vjerodajnica. Ako ponovno koristite lozinke na različitim stranicama, povreda u jednoj tvrtki postaje povreda svugdje gdje ste koristili istu lozinku. Upravitelj lozinki koji generira jedinstvene vjerodajnice za svaki račun gotovo u potpunosti uklanja taj rizik. Uparite to s višefaktorskom autentifikacijom gdje god je ponuđena, budući da ona blokira većinu pokušaja preuzimanja računa čak i kada lozinka procuri.

Nadzirite svoje račune i kreditnu sposobnost proaktivno, umjesto da čekate obavijest. Obavijesti o povredi često kasne mjesecima za stvarnim incidentom, pa bi do trenutka kada ste obaviješteni neobične aktivnosti već mogle započeti. Mnoge banke i kreditni uredi nude besplatna upozorenja za otvaranje novih računa ili neuobičajene transakcije; uključite ih.

Budite skeptični prema neodređenom jeziku obavijesti. Ako u pismu piše "neovlašteni pristup" bez dodatnih detalja, to shvatite kao signal da zamrznete svoj kreditni profil ili postavite upozorenje o prijevari, a ne kao razlog za opuštanje. I razmislite o tome da kako se sustavi digitalnog identiteta šire, važnost onoga što se centralizira i koliko je dobro zaštićeno samo će rasti, što osobnu opreznost čini još važnijom u budućnosti.

Što to znači za vas

Ključna pouka ovog izvješća je da je transparentnost obavijesti o povredi podataka trenutno uglavnom aspiracija, a ne pouzdan standard. Tvrtke su zakonski obvezne reći vam da se povreda dogodila, ali ne i zašto se dogodila ili kako se mogla spriječiti. To znači da odgovornost za smanjenje vlastite izloženosti neproporcionalno pada na vas.

To nije razlog za paniku. To je razlog za promjenu načina razmišljanja: tretirajte svaki račun kao potencijalnu buduću žrtvu povrede, a ne samo one s kojih su vam već poslali obavijest. Koristite jedinstvene lozinke, uključite višefaktorsku autentifikaciju, redovito nadzirite svoje financijske račune i nemojte čekati da vam korporativna objava kaže da je vrijeme za djelovanje.

Provedivi zaključci:

  • Revidirajte svoje lozinke i prijeđite na upravitelja lozinki ako ponovno koristite vjerodajnice na različitim stranicama.
  • Uključite višefaktorsku autentifikaciju za e-poštu, bankarstvo i svaki račun koji sadrži osjetljive podatke.
  • Postavite besplatna upozorenja za nadzor računa i kreditne sposobnosti umjesto da čekate obavijest o povredi.
  • Neodređen jezik obavijesti ("neovlašteni pristup", "sofisticirani napad") shvatite kao poticaj da zamrznete kreditni profil, a ne kao razlog za odbacivanje rizika.
  • Pratite vijesti o povredama za tvrtke koje koristite kako biste mogli reagirati na incidente i prije nego što službena obavijest uopće stigne.