AfDの421,000件のメールに及ぶデータ侵害により、一般の人々はドイツの政党内部を異例な形で垣間見る機会を得た。heise onlineによると、「ドイツのための選択肢」党はどうやら侵害を受け、約421,000件のメールが公開された。報道の見出しは、違法にコピーされたファイルにも言及している。報道の多くは、これらのメッセージが党について何を明らかにするかに焦点を当てるだろう。本記事は別の角度から迫る。この種の漏洩が、他人の受信箱に現れる一般の人々にとって何を意味するのか、という点である。

範囲に関する注記：元記事は短く、データがどのように取得されたか、誰が公開したか、メールの内容が正確に何であるかなど、多くの詳細は我々が持つ資料では確定していない。我々は報道された内容に留まり、大規模なメール漏洩から生じる一般的なリスクを説明する。

AfDのメール漏洩で何が公開されたか

核となる事実は限られている。党はどうやらデータ侵害を受け、約421,000件のメールが公開された。heiseは、この資料が党内部の一端を覗かせるものだと述べている。「どうやら」という言葉は重要だ。侵害は報道されているが、読者は党、捜査当局、または信頼できる媒体が確認するまで、オンラインで流布している更なる主張には注意して扱うべきである。

メールアーカイブは、漏洩データの中でも特に多くを明らかにする種類の一つだ。ユーザー名のデータベースとは異なり、メールボックスには自由記述の会話、添付ファイル、転送された文書、電話番号入りの署名、そして誰が誰にいつ書いたかを示す完全なヘッダーが含まれる。421,000件のメッセージのうちごく一部にしか機密情報が含まれていなくても、その量の多さから、何が入っているかを事前に知ることは誰にも難しい。

党自体以外に誰が露出するのか

最も影響を受ける可能性が高い人々は、必ずしも党の指導者ではない。組織とやり取りした人は誰でもアーカイブに現れる可能性がある。申請や質問を送った党員、献金者、イベント参加者、ジャーナリスト、納入業者、地方公務員、そして苦情や意見を書き送った一般市民などだ。彼らの誰も、党がメールをどのように保存し保護するかを管理していなかった。

これが組織的侵害の中心的教訓である。あなたの露出度は、あなた自身だけでなく、コミュニケーションを取るあらゆるグループのセキュリティ慣行に依存する。ある政党に一度メッセージを書いただけの人物が、今やその名前、メールアドレス、そしてそのメッセージ内のあらゆる詳細が公開されたダンプの中に置かれているかもしれない。

政治的文脈では、典型的な商業的漏洩よりもリスクが高くなり得る。政党との関連は敏感であり得、公開されたやり取りは嫌がらせ、特定（doxxing）、または標的型フィッシングにつながる可能性がある。詐欺師はまた、漏洩した連絡先情報を再利用して、実際の会話に言及した説得力のあるメッセージを作成する傾向がある。二次的被害の同様のパターンは、我々が取材した他のインシデントにも見られる。例えば2,360万件のユーザー記録を露出したGyazoデータ侵害では、個人に対する真のリスクは、漏洩データを使って他者がその後何ができるかから生じた。

党のGDPR義務と影響を受ける人々の権利

党はドイツで活動しているため、EUの一般データ保護規則（GDPR）が関連する枠組みである。GDPRの下では、個人データ侵害を受けた組織は、一般に、遅滞なく、かつ可能であれば認識してから72時間以内に所管の監督当局に通知しなければならない。ただし、侵害が人々にリスクをもたらす可能性が低い場合を除く。個人へのリスクが高い場合、組織は影響を受ける人々に直接通知しなければならない。政治的意見は同規則の下で個人データの特別カテゴリーとして扱われ、保護と監視のレベルが高まる。

元記事から通知が行われたかどうかの確認は得られていないため、党がこれらの義務を果たしたかどうかは言えない。我々が説明できるのは、人々が持つ権利である：

  • アクセス権： 組織があなたの個人データを保有しているかどうかを尋ね、コピーを請求できる。
  • 消去権： 多くの状況で、データの削除を求めることができる。
  • 苦情申立て権： データが不適切に扱われたと考える場合、データ保護当局に苦情を申し立てることができる。
  • 補償を受ける権利： GDPRは、侵害によって生じた物質的または非物質的損害に対する損害賠償を個人が求めることを認めている。

過去に党と連絡を取ったことがあるなら、アクセス請求を送ることは、彼らがあなたについて何を保有しているかを知る合理的な方法である。

これがあなたにとって何を意味するか

このような漏洩の影響を受けるのに党員である必要はない。侵害を受けたあらゆる組織に手紙を書いたり、寄付したり、登録したりしたことがあるなら、それらのメッセージ内の詳細が今や公開されている可能性があると想定すべきだ。実務的なリスクは、パスワードやログインリンクがメールで送信されていない限り、即座のアカウント乗っ取りではなく、フィッシング、なりすまし、そして望まぬ注目である。

最後の点は注意に値する。古いメールには、しばしばパスワードリセットリンク、共有認証情報、口座番号が含まれている。影響を受けた組織とのやり取りでそのような詳細を送ったり受け取ったりしたことがあるなら、それらは侵害されたものとして扱うべきだ。Valveの12TBのTeraleakに関する我々の報告で述べられているような大規模な内部データのダンプは、長く忘れられていた資料が何年も後に再び表面化し得ることを示している。

組織的侵害の後に身を守る方法

他人のセキュリティを修正することはできないが、自分側の被害を限定することはできる：

  1. 漏洩データベースを確認する。 信頼できる漏洩通知サービスで自分のメールアドレスを検索し、既知のダンプに現れているかどうかを確認する。
  2. 固有のパスワードを使う。 パスワードマネージャーを使えば、すべてのアカウントに固有のパスワードを設定でき、1つの漏洩が他を解錠することはない。
  3. 二要素認証を有効にする。 可能な場合はSMSよりも認証アプリまたはハードウェアキーを優先する。
  4. 過去の接触に言及するメッセージには懐疑的になる。 攻撃者は漏洩したメールから実際の詳細を引用する可能性がある。クリックや返信の前に、すでに信頼している経路で確認する。
  5. メールエイリアスを検討する。 組織ごとに別のアドレスを使うことで、1つの漏洩があなたについて明らかにすることを限定できる。
  6. GDPRの権利を行使する。 組織が保有するデータを尋ね、適切な場合には削除を請求する。

VPNは他人のメールサーバーの侵害には役立たない。露出は組織側で起こるからだ。自身のトラフィックを保護するには依然として有用だが、ここでの解決策ではない。900万件の顔画像のClarityCheck漏洩のように個人のメディアや身元データが露出することは、最善の防御は共有するものを最小限にし、取り戻せないものを安全に保つことだということを思い起こさせる。

主な要点

AfDの421,000件のメールに及ぶデータ侵害は、あなたのプライバシーが、あなたが手紙を書くあらゆる組織の習慣に結びついていることを思い起こさせる。自分のアドレスが漏洩ダンプに現れていないか確認し、すべての重要なアカウントで二要素認証を伴う固有のパスワードに切り替え、あなたについて知りすぎているように見えるメッセージに注意せよ。これらのステップが実際にどう機能するかを見るには、Gyazo侵害や他の最近の露出に関する我々の報道を読み、この漏洩に関するより多くの確認された詳細が明らかになるにつれて再び確認してほしい。