471 millioner varsler, lite forklaring: Hva rapporten fant

En ny rapport har satt et svimlende tall på et problem personvernforkjempere har advart om i årevis: mer enn 471 millioner varsler til ofre for datainnbrudd ble sendt ut på bare seks måneder. Det er ingen skrivefeil. Holder tempoet seg, blir det godt over en halv milliard varsler i året – et omfang av befolkningen som er vanskelig å ta helt inn over seg.

Men volumet er ikke engang den mest foruroligende delen. Ifølge rapporten unnlot de fleste av disse varslene å forklare hvordan angriperne faktisk kom seg inn. Ingen omtale av om det var en phishing-e-post, en upatchet server, stjålne påloggingsdetaljer eller en kompromittert tredjepartsleverandør. Bare en vag bekreftelse på at «uautorisert tilgang» fant sted, etterfulgt av standardråd om å overvåke kontoene dine.

Dette er kjernen i problemet med åpenhet rundt varsling om datainnbrudd. Lovene i de fleste jurisdiksjoner krever at selskaper forteller deg at et innbrudd har skjedd og hvilke data som ble eksponert. Svært få krever at de forklarer hvordan det skjedde. Dette hullet gjør at forbrukere verken kan vurdere om selskapets sikkerhetspraksis var rimelig, uaktsom eller et sted midt imellom, eller vurdere sin egen reelle risiko fremover.

Hvorfor selskaper holder seg vage om angrepsvektorer

Det finnes praktiske og juridiske grunner til at selskaper holder innbruddsinformasjonen tynn. Pågående etterforskning, aktiv rettstvist og regulatorisk eksponering gir juridiske avdelinger insentiv til å si minst mulig. Et selskap som innrømmer at det lot en database være ukryptert eller ignorerte et kjent programvaresårbarhet, gir ammunisjon til saksøkeradvokater og tilsynsmyndigheter.

Det ligger også en omdømmeberegning bak. Detaljerte tekniske avsløringer kan se ut som en innrømmelse av inkompetanse, mens vagt språk som «sofistikert angrep» eller «uautorisert tredjepart» høres mer ut som uflaks enn uaktsomhet, selv når sannheten ligger nærmere det siste. Lovene om varsling ved datainnbrudd i USA varierer betydelig fra delstat til delstat, og de fleste setter en lav terskel: varsle berørte personer, beskriv kategoriene av eksponerte data og tilby en eller annen form for kredittovervåking. Få pålegger en forklaring på rotårsaken, og håndhevingen av selv disse minimumskravene er inkonsekvent.

Resultatet er et system der selskaper oppfyller lovens bokstav samtidig som de gir forbrukerne nesten ingenting de kan bruke for å beskytte seg selv eller holde noen ansvarlige.

Nylige innbrudd viser at mønsteret gjentar seg

Dette er ikke en abstrakt trend. Den dukker opp i innbrudd etter innbrudd som havner i overskriftene. Humana-datainnbruddet som rammet kunder i seks delstater involverte noe av den mest sensitive informasjonen folk har – helseopplysninger – men offentlige detaljer om angrepsmetoden har vært begrenset. Novo Nordisk-innbruddet, der angripere hevdet å ha stjålet 1,3 terabyte med kliniske studiedata, etterlot på samme måte mange spørsmål om inntrengningspunktet ubesvart i offentlige uttalelser.

Mønsteret strekker seg utover helsevesen og farmasi. Odido-datainnbruddet eksponerte 6,2 millioner poster, inkludert bankkontodetaljer, og til og med Tribeca Film Festival-innbruddet som berørte høyprofilerte deltakere, fulgte det velkjente manuset: bekreftelse på at data ble eksponert, forsikring om at saken etterforskes, og lite annet. På tvers av bransjer og kontinenter ser avsløringsspilleboken bemerkelsesverdig lik ut – og bemerkelsesverdig tynn.

Slik beskytter du deg når detaljer holdes tilbake

Siden du vanligvis ikke kan regne med at et selskap forteller deg nøyaktig hvordan dataene dine ble eksponert, er det mer nyttige spørsmålet hva du kan kontrollere uavhengig av forklaringen du får.

Begynn med påloggingshygiene. Hvis du gjenbruker passord på tvers av nettsteder, blir et innbrudd hos ett selskap et innbrudd overalt hvor du brukte det samme passordet. En passordbehandler som genererer unike pålogginger for hver konto, fjerner denne risikoen nesten helt. Kombiner dette med flerfaktorautentisering der det tilbys, siden det blokkerer de fleste kontoovertakelsesforsøk selv om et passord lekker.

Overvåk kontoene dine og kreditten din proaktivt i stedet for å vente på at et varsel kommer. Varsler om datainnbrudd ligger ofte måneder etter selve hendelsen, så innen du blir informert, kan uvanlig aktivitet allerede ha startet. Mange banker og kredittbyråer tilbyr gratis varsler for nye kontoåpninger eller uvanlige transaksjoner; slå dem på.

Vær skeptisk til vagt varselspråk. Hvis et brev sier «uautorisert tilgang» uten spesifikasjoner, bør du behandle det som et signal om å fryse kreditten din eller plassere et svindelvarsel, snarere enn en grunn til å slappe av. Og ta i betraktning at etter hvert som digitale ID-systemer utvides, vil innsatsen rundt hva som sentraliseres og hvor godt det beskyttes bare øke, noe som gjør personlig årvåkenhet enda viktigere fremover.

Hva dette betyr for deg

Den viktigste lærdommen fra denne rapporten er at åpenhet rundt varsling om datainnbrudd i stor grad er et ønske akkurat nå, ikke en pålitelig standard. Selskaper er juridisk forpliktet til å fortelle deg at et innbrudd har skjedd, men ikke til å fortelle deg hvorfor det skjedde eller hvordan det kunne vært forhindret. Det betyr at ansvaret for å redusere din egen eksponering faller uforholdsmessig mye på deg.

Dette er ikke grunn til panikk. Det er grunn til et tankesettskifte: behandle hver konto som et potensielt fremtidig innbruddsoffer, ikke bare de som allerede har sendt deg et varsel. Bruk unike passord, aktiver flerfaktorautentisering, overvåk finanskontoene dine jevnlig, og ikke vent på en bedriftsavsløring for å få beskjed om at det er på tide å handle.

Konkrete grep:

  • Gjør en gjennomgang av passordene dine og gå over til en passordbehandler hvis du gjenbruker pålogginger på tvers av nettsteder.
  • Slå på flerfaktorautentisering for e-post, banktjenester og eventuelle kontoer som inneholder sensitive data.
  • Sett opp gratis varsler for konto- og kredittovervåking i stedet for å vente på et innbruddsvarsel.
  • Behandle vagt innbruddsspråk («uautorisert tilgang», «sofistikert angrep») som en oppfordring til å fryse kreditten, ikke en grunn til å avfeie risikoen.
  • Følg med på dekning av innbrudd for selskaper du bruker, slik at du kan handle på hendelser før et offisielt varsel i det hele tatt kommer.