471 Juta Pemberitahuan, Sedikit Penjelasan: Temuan Laporan

Sebuah laporan baru mengungkap angka mengejutkan tentang masalah yang telah diperingatkan oleh para pegiat privasi selama bertahun-tahun: lebih dari 471 juta pemberitahuan korban pelanggaran data dikirim hanya dalam waktu enam bulan. Itu bukan kesalahan ketik. Jika laju ini terus berlanjut, jumlahnya bisa mencapai lebih dari setengah miliar pemberitahuan per tahun, menyentuh skala populasi yang sulit dicerna sepenuhnya.

Namun volumenya bukanlah bagian yang paling meresahkan. Menurut laporan tersebut, sebagian besar pemberitahuan itu gagal menjelaskan bagaimana penyerang benar-benar masuk. Tidak disebutkan apakah itu melalui email phishing, server yang tidak ditambal, kredensial yang dicuri, atau vendor pihak ketiga yang dibobol. Hanya pengakuan samar bahwa "akses tidak sah" terjadi, diikuti dengan saran generik untuk memantau akun Anda.

Inilah inti dari masalah transparansi pemberitahuan pelanggaran data. Undang-undang di sebagian besar yurisdiksi mewajibkan perusahaan untuk memberi tahu Anda bahwa pelanggaran terjadi dan data apa yang terekspos. Sangat sedikit yang mewajibkan mereka menjelaskan bagaimana hal itu terjadi. Kesenjangan itu membuat konsumen tidak dapat menilai apakah praktik keamanan perusahaan masuk akal, sembrono, atau di antaranya, dan tidak dapat menilai risiko nyata mereka sendiri ke depannya.

Mengapa Perusahaan Tetap Samar tentang Vektor Serangan

Ada alasan praktis dan hukum mengapa pengungkapan pelanggaran oleh perusahaan tetap minim. Investigasi yang sedang berlangsung, litigasi aktif, dan paparan regulasi semuanya mendorong tim hukum untuk mengatakan sesedikit mungkin. Perusahaan yang mengakui bahwa mereka membiarkan basis data tidak terenkripsi atau mengabaikan kerentanan perangkat lunak yang diketahui sama saja memberikan amunisi bagi pengacara penggugat dan regulator.

Ada pula kalkulasi reputasi. Pengungkapan teknis yang terperinci dapat terlihat seperti pengakuan atas ketidakmampuan, sementara bahasa samar seperti "serangan canggih" atau "pihak ketiga yang tidak sah" terdengar lebih seperti nasib buruk ketimbang kelalaian, bahkan ketika kenyataannya cenderung lebih dekat pada yang terakhir. Undang-undang pemberitahuan pelanggaran di AS sangat bervariasi di setiap negara bagian, dan kebanyakan menetapkan standar yang rendah: beri tahu individu yang terkena dampak, jelaskan kategori data yang terekspos, dan tawarkan semacam pemantauan kredit. Hanya sedikit yang mewajibkan penjelasan akar penyebab, dan penegakan bahkan untuk persyaratan dasar itu pun tidak konsisten.

Hasilnya adalah sebuah sistem di mana perusahaan memenuhi huruf hukum sambil memberikan hampir tidak ada yang dapat digunakan konsumen untuk melindungi diri sendiri atau meminta pertanggungjawaban pihak mana pun.

Pelanggaran Baru-baru Ini Menunjukkan Pola yang Berulang

Ini bukan tren abstrak. Hal ini muncul dalam pelanggaran demi pelanggaran yang menjadi berita utama. Pelanggaran data Humana yang memengaruhi pelanggan di enam negara bagian melibatkan beberapa informasi paling sensitif yang dimiliki orang, yakni catatan kesehatan, namun detail publik tentang metode serangan sangat terbatas. Pelanggaran Novo Nordisk, di mana penyerang mengaku telah mencuri 1,3 terabyte data uji klinis, juga meninggalkan banyak pertanyaan tentang titik intrusi yang tidak terjawab dalam pernyataan publik.

Polanya melampaui sektor kesehatan dan farmasi. Pelanggaran data Odido mengekspos 6,2 juta catatan termasuk detail rekening bank, dan bahkan pelanggaran Tribeca Film Festival yang melibatkan hadirin kalangan atas mengikuti naskah yang sama: konfirmasi bahwa data terekspos, jaminan bahwa masalah sedang diselidiki, dan sedikit lagi. Di berbagai industri dan benua, buku panduan pengungkapan tampak sangat konsisten, dan sangat tipis.

Cara Melindungi Diri Saat Detail Disembunyikan

Karena Anda umumnya tidak bisa mengandalkan perusahaan untuk memberi tahu secara persis bagaimana data Anda terekspos, pertanyaan yang lebih berguna adalah apa yang dapat Anda kendalikan terlepas dari penjelasan yang diberikan.

Mulailah dengan kebersihan kredensial. Jika Anda menggunakan kembali kata sandi di berbagai situs, pelanggaran di satu perusahaan menjadi pelanggaran di mana pun Anda menggunakan kata sandi yang sama. Pengelola kata sandi yang membuat kredensial unik untuk setiap akun hampir sepenuhnya menghilangkan risiko ini. Padukan dengan autentikasi multi-faktor di mana pun ditawarkan, karena ini memblokir sebagian besar upaya pengambilalihan akun bahkan ketika kata sandi bocor.

Pantau akun dan kredit Anda secara proaktif alih-alih menunggu pemberitahuan datang. Pemberitahuan pelanggaran sering kali tertinggal berbulan-bulan dari insiden sebenarnya, jadi pada saat Anda diberi tahu, aktivitas tidak biasa mungkin sudah dimulai. Banyak bank dan biro kredit menawarkan peringatan gratis untuk pembukaan rekening baru atau tagihan tidak biasa; aktifkan.

Bersikaplah skeptis terhadap bahasa pemberitahuan yang samar. Jika sebuah surat mengatakan "akses tidak sah" tanpa spesifik, perlakukan itu sebagai sinyal untuk membekukan kredit Anda atau menempatkan peringatan penipuan daripada alasan untuk santai. Dan pertimbangkan bahwa seiring sistem ID digital meluas, taruhan seputar apa yang disentralisasi dan seberapa baik perlindungannya hanya akan meningkat, menjadikan kewaspadaan pribadi semakin penting ke depannya.

Apa Artinya Bagi Anda

Pelajaran inti dari laporan ini adalah bahwa transparansi pemberitahuan pelanggaran data saat ini sebagian besar masih bersifat aspiratif, bukan standar yang dapat diandalkan. Perusahaan secara hukum wajib memberi tahu Anda bahwa pelanggaran terjadi, tetapi tidak wajib memberi tahu mengapa hal itu terjadi atau bagaimana hal itu sebenarnya bisa dicegah. Artinya, tanggung jawab untuk mengurangi paparan Anda sendiri secara tidak proporsional jatuh pada Anda.

Ini bukan alasan untuk panik. Ini alasan untuk mengubah pola pikir: perlakukan setiap akun sebagai calon korban pelanggaran di masa depan, bukan hanya yang sudah mengirimkan pemberitahuan kepada Anda. Gunakan kata sandi unik, aktifkan autentikasi multi-faktor, pantau rekening keuangan Anda secara rutin, dan jangan menunggu pengungkapan korporat untuk memberi tahu Anda kapan waktunya bertindak.

Kesimpulan yang dapat ditindaklanjuti:

  • Audit kata sandi Anda dan beralihlah ke pengelola kata sandi jika Anda menggunakan kembali kredensial di berbagai situs.
  • Aktifkan autentikasi multi-faktor untuk email, perbankan, dan akun apa pun yang menyimpan data sensitif.
  • Siapkan peringatan pemantauan akun dan kredit gratis alih-alih menunggu pemberitahuan pelanggaran.
  • Perlakukan bahasa pelanggaran yang samar ("akses tidak sah," "serangan canggih") sebagai dorongan untuk membekukan kredit, bukan alasan untuk mengabaikan risiko.
  • Ikuti liputan pelanggaran untuk perusahaan yang Anda gunakan sehingga Anda dapat bertindak atas insiden bahkan sebelum pemberitahuan resmi tiba.