471 milioni di notifiche, poche spiegazioni: cosa ha scoperto il rapporto

Un nuovo rapporto ha messo in luce una cifra sconcertante su un problema che i difensori della privacy denunciano da anni: oltre 471 milioni di avvisi di violazione dei dati sono stati inviati in soli sei mesi. Non è un errore di battitura. Se il ritmo regge, si arriva a ben oltre mezzo miliardo di notifiche all’anno, toccando una scala della popolazione difficile da elaborare appieno.

Ma il volume non è nemmeno la parte più preoccupante. Secondo il rapporto, la maggior parte di quegli avvisi non spiegava come gli aggressori fossero effettivamente entrati. Nessun accenno a una mail di phishing, a un server non aggiornato, a credenziali rubate o a un fornitore terzo compromesso. Solo un vago riconoscimento che si è verificato un “accesso non autorizzato”, seguito da consigli preconfezionati per monitorare i propri conti.

Questo è il cuore del problema della trasparenza nelle notifiche di violazione dei dati. Le leggi nella maggior parte delle giurisdizioni impongono alle aziende di dirti che è avvenuta una violazione e quali dati sono stati esposti. Pochissime impongono loro di spiegare come sia successo. Questa lacuna lascia i consumatori incapaci di giudicare se le pratiche di sicurezza di un’azienda siano state ragionevoli, negligenti o una via di mezzo, e di valutare il proprio rischio reale per il futuro.

Perché le aziende restano vaghe sui vettori d’attacco

Ci sono ragioni pratiche e legali per cui le aziende mantengono scarne le comunicazioni sulle violazioni. Indagini in corso, contenziosi attivi ed esposizione a livello regolatorio spingono tutti gli uffici legali a dire il meno possibile. Un’azienda che ammette di aver lasciato un database non cifrato o di aver ignorato una vulnerabilità nota fornisce munizioni agli avvocati dei querelanti e alle autorità di regolamentazione.

C’è anche un calcolo reputazionale. Dettagli tecnici approfonditi possono sembrare un’ammissione di incompetenza, mentre formule vaghe come “attacco sofisticato” o “terza parte non autorizzata” suonano più come sfortuna che come negligenza, anche quando la realtà è più vicina a quest’ultima. Le leggi statunitensi sulla notifica delle violazioni variano notevolmente da stato a stato e la maggior parte fissa un’asticella bassa: informare gli interessati, descrivere le categorie di dati esposti e offrire una qualche forma di monitoraggio del credito. Poche prescrivono una spiegazione della causa principale, e l’applicazione anche di quei requisiti minimi è disomogenea.

Il risultato è un sistema in cui le aziende rispettano la lettera della legge, dando ai consumatori quasi nulla che possano usare per proteggersi o per chiedere conto a qualcuno.

Violazioni recenti mostrano lo schema che si ripete

Non si tratta di un trend astratto. Si manifesta in violazione dopo violazione che finisce sui titoli dei giornali. La violazione dei dati di Humana che ha colpito clienti in sei stati ha riguardato alcune delle informazioni più sensibili in possesso delle persone, le cartelle cliniche, eppure i dettagli pubblici sul metodo d’attacco sono stati limitati. La violazione di Novo Nordisk, in cui gli aggressori hanno dichiarato di aver rubato 1,3 terabyte di dati di studi clinici, ha lasciato allo stesso modo molte domande senza risposta nelle dichiarazioni pubbliche sul punto di intrusione.

Lo schema si estende oltre sanità e farmaceutica. La violazione dei dati di Odido ha esposto 6,2 milioni di record, inclusi dettagli di conti bancari, e persino la violazione del Tribeca Film Festival che ha toccato partecipanti di alto profilo ha seguito il copione abituale: conferma dell’esposizione dei dati, rassicurazioni sul fatto che la vicenda è sotto indagine e poco altro. Attraverso settori e continenti, il manuale di comunicazione appare notevolmente uniforme e notevolmente scarno.

Come proteggersi quando i dettagli vengono omessi

Dal momento che generalmente non puoi contare sul fatto che un’azienda ti dica esattamente come i tuoi dati sono stati esposti, la domanda più utile è cosa puoi controllare indipendentemente dalla spiegazione che ti viene fornita.

Parti dall’igiene delle credenziali. Se riutilizzi password su più siti, una violazione in un’azienda diventa una violazione ovunque tu abbia usato la stessa password. Un gestore di password che genera credenziali uniche per ogni account elimina quasi completamente questo rischio. Abbinalo all’autenticazione a più fattori ovunque sia offerta, poiché blocca la maggior parte dei tentativi di accesso abusivo anche quando una password trapela.

Monitora proattivamente conti e credito anziché aspettare che arrivi un avviso. Le notifiche di violazione spesso arrivano mesi dopo l’incidente reale, quindi quando vieni informato, attività sospette potrebbero essere già iniziate. Molte banche e agenzie di credito offrono avvisi gratuiti per l’apertura di nuovi conti o addebiti insoliti; attivali.

Sii scettico riguardo al linguaggio vago delle notifiche. Se una lettera dice “accesso non autorizzato” senza dettagli, considerala un segnale per congelare il credito o attivare un avviso di frode, non per stare tranquillo. E considera che con l’espansione dei sistemi di identità digitale, la posta in gioco su ciò che viene centralizzato e su quanto bene venga protetto è destinata solo a crescere, rendendo la vigilanza personale ancora più importante in futuro.

Cosa significa per te

La lezione centrale di questo rapporto è che la trasparenza nelle notifiche di violazione dei dati è per ora in gran parte un’aspirazione, non uno standard affidabile. Le aziende sono legalmente obbligate a dirti che una violazione è avvenuta, ma non a dirti perché è successo o come avrebbe potuto essere prevenuta. Questo significa che la responsabilità di ridurre la propria esposizione ricade in modo sproporzionato su di te.

Non è motivo di panico. È motivo per un cambio di mentalità: tratta ogni account come una potenziale futura vittima di violazione, non solo quelli che ti hanno già inviato un avviso. Usa password uniche, attiva l’autenticazione a più fattori, monitora i tuoi conti finanziari regolarmente e non aspettare che una comunicazione aziendale ti dica che è ora di agire.

Consigli pratici da mettere in atto:

  • Controlla le tue password e passa a un gestore di password se stai riutilizzando credenziali su più siti.
  • Attiva l’autenticazione a più fattori per email, conti bancari e qualsiasi account che contenga dati sensibili.
  • Imposta avvisi gratuiti per il monitoraggio del conto e del credito invece di aspettare una notifica di violazione.
  • Tratta il linguaggio vago nelle violazioni (“accesso non autorizzato”, “attacco sofisticato”) come un invito a congelare il credito, non come un motivo per ignorare il rischio.
  • Segui la copertura delle violazioni per le aziende che utilizzi, in modo da poter agire sugli incidenti prima ancora che arrivi una comunicazione ufficiale.