La violazione di dati dell'AfD con 421.000 email ha offerto al pubblico uno sguardo insolito all'interno di un partito politico tedesco. Secondo heise online, il partito "Alternativa per la Germania" avrebbe subito una violazione e sono state pubblicate circa 421.000 email. Anche il titolo del rapporto fa riferimento a file copiati illegalmente. Gran parte della copertura si concentrerà su ciò che i messaggi rivelano sul partito. Questo articolo adotta un'angolazione diversa: cosa significa una fuga di dati di questo tipo per le persone comuni che compaiono nella casella di posta di qualcun altro.

Una nota sulla portata: l'articolo di origine è breve, e molti dettagli, come le modalità di acquisizione dei dati, chi li ha pubblicati e cosa contengono esattamente le email, non sono stabiliti nel materiale a nostra disposizione. Ci atteniamo a quanto è stato riportato e spieghiamo i rischi generali che derivano da qualsiasi fuga di email su larga scala.

Cosa è stato pubblicato nella fuga di email dell'AfD

I fatti principali sono limitati. Il partito avrebbe subito una violazione dei dati e circa 421.000 email sono state rese pubbliche. Heise descrive il materiale come un'offerta di uno sguardo all'interno del partito. La parola "apparentemente" è importante: la violazione è stata riportata, ma i lettori dovrebbero trattare con cautela ulteriori affermazioni che circolano online finché il partito, gli investigatori o fonti affidabili non le confermino.

Gli archivi di email sono tra i tipi di dati rubati più rivelatori. A differenza di un database di nomi utente, una casella di posta contiene conversazioni in testo libero, allegati, documenti inoltrati, firme con numeri di telefono e le intestazioni complete che mostrano chi ha scritto a chi e quando. Anche se solo una frazione dei 421.000 messaggi contenesse materiale sensibile, il volume rende difficile per chiunque sapere in anticipo cosa c'è dentro.

Chi è esposto oltre al partito stesso

Le persone più probabilmente colpite non sono necessariamente i leader del partito. Chiunque abbia corrisposto con l'organizzazione potrebbe comparire nell'archivio: membri che hanno inviato candidature o domande, donatori, partecipanti a eventi, giornalisti, fornitori, funzionari locali e membri del pubblico che hanno scritto con lamentele o opinioni. Nessuno di loro ha controllato come il partito abbia conservato o protetto la sua posta.

Questa è la lezione centrale delle violazioni organizzative. La tua esposizione dipende dalle pratiche di sicurezza di ogni gruppo con cui comunichi, non solo dalle tue. Una persona che ha scritto un singolo messaggio a un partito politico potrebbe ora avere il proprio nome, indirizzo email e qualsiasi dettaglio contenuto in quel messaggio in un dump pubblico.

In un contesto politico la posta in gioco può essere più alta rispetto a una tipica fuga commerciale. L'associazione con un partito può essere sensibile, e la corrispondenza pubblicata può portare a molestie, doxxing o phishing mirato. I truffatori tendono anche a riutilizzare i dettagli di contatto rubati per creare messaggi convincenti che fanno riferimento a conversazioni reali. Lo stesso schema di danni secondari appare in altri incidenti che abbiamo trattato, come la violazione di dati di Gyazo che ha esposto 23,6 milioni di record utente, dove il vero rischio per gli individui derivava da ciò che altri potevano fare con i dati rubati in seguito.

Obblighi GDPR per il partito e diritti per le persone colpite

Poiché il partito opera in Germania, il Regolamento generale sulla protezione dei dati dell'UE è il quadro di riferimento pertinente. Ai sensi del GDPR, un'organizzazione che subisce una violazione dei dati personali deve generalmente notificare all'autorità di controllo competente senza ingiustificato ritardo, e ove possibile entro 72 ore dalla presa di coscienza, a meno che la violazione non sia improbabile che metta a rischio le persone. Se il rischio per gli individui è elevato, l'organizzazione deve anche informare direttamente gli interessati. Le opinioni politiche sono trattate come una categoria speciale di dati personali ai sensi del regolamento, il che eleva il livello di protezione e scrutinio.

Non abbiamo conferma dall'articolo di origine circa l'avvenuta effettuazione delle notifiche, quindi non possiamo dire se il partito abbia adempiuto a questi obblighi. Quello che possiamo descrivere sono i diritti che le persone detengono:

  • Diritto di accesso: puoi chiedere a un'organizzazione se detiene i tuoi dati personali e richiederne una copia.
  • Diritto alla cancellazione: in molte circostanze puoi chiedere la cancellazione dei tuoi dati.
  • Diritto di reclamo: puoi presentare un reclamo a un'autorità di protezione dei dati se ritieni che i tuoi dati siano stati gestiti male.
  • Diritto al risarcimento: il GDPR consente agli individui di richiedere danni per pregiudizi materiali o non materiali causati da violazioni.

Se sei mai stato in contatto con il partito, inviare una richiesta di accesso è un modo ragionevole per scoprire cosa detengono su di te.

Cosa significa per te

Non devi essere un membro del partito per essere toccato da una fuga di dati come questa. Se hai scritto, donato o registrato presso qualsiasi organizzazione che ha subito una violazione, presupponi che i dettagli in quei messaggi possano ora essere pubblici. I rischi pratici sono phishing, impersonificazione e attenzione indesiderata, piuttosto che una immediata compromissione dell'account, a meno che una password o un link di accesso sia stato inviato via email.

Quest'ultimo punto merita attenzione. Le vecchie email spesso contengono link per il reset della password, credenziali condivise o numeri di conto. Se hai mai inviato o ricevuto tali dettagli in corrispondenza con l'organizzazione colpita, trattali come compromessi. Grandi dump di dati interni, come quello descritto nel nostro rapporto sul Teraleak da 12TB di Valve, mostrano come materiale a lungo dimenticato possa riemergere anni dopo.

Come proteggerti dopo una violazione organizzativa

Non puoi riparare alla sicurezza di qualcun altro, ma puoi limitare i danni dalla tua parte:

  1. Controlla i database delle violazioni. Cerca il tuo indirizzo email in un servizio affidabile di notifica delle violazioni per vedere se compare in dump noti.
  2. Usa password uniche. Un gestore di password ti consente di assegnare a ogni account la propria password, così una fuga non può sbloccare le altre.
  3. Attiva l'autenticazione a due fattori. Preferisci un'app di autenticazione o una chiave hardware rispetto agli SMS, ove possibile.
  4. Sii scettico verso i messaggi che fanno riferimento a contatti passati. Gli aggressori possono citare dettagli reali da email rubate. Verifica attraverso un canale di cui ti fidi già prima di cliccare o rispondere.
  5. Considera un alias email. Usare indirizzi separati per diverse organizzazioni limita ciò che una singola fuga rivela su di te.
  6. Esercita i tuoi diritti GDPR. Chiedi quali dati detiene l'organizzazione e richiedi la cancellazione ove appropriato.

Una VPN non aiuta contro una violazione del server di posta di qualcun altro, poiché l'esposizione avviene presso l'organizzazione. Rimane utile per proteggere il tuo traffico, ma non è un rimedio in questo caso. L'esposizione di contenuti multimediali personali e dati di identità, come nella fuga di dati di ClarityCheck di 9 milioni di immagini facciali, è un promemoria del fatto che le tue migliori difese sono minimizzare ciò che condividi e proteggere ciò che non puoi recuperare.

Punti chiave

La violazione di dati dell'AfD con 421.000 email è un promemoria del fatto che la tua privacy è legata alle abitudini di ogni organizzazione a cui scrivi. Controlla se il tuo indirizzo compare nei dump delle violazioni, passa a password uniche con autenticazione a due fattori su ogni account importante e presta attenzione ai messaggi che sembrano sapere troppo su di te. Per vedere come questi passaggi funzionano in pratica, leggi la nostra copertura della violazione di Gyazo e altre recenti esposizioni, e torna a controllare man mano che emergono ulteriori dettagli verificati su questa fuga di dati.