AfD-datalekkasjen med 421 000 e-poster har gitt offentligheten et uvanlig innblikk i et tysk politisk parti. Ifølge heise online har partiet «Alternative für Deutschland» tilsynelatende blitt utsatt for et datainnbrudd, og rundt 421 000 e-poster ble publisert. Rapportens overskrift viser også til ulovlig kopierte filer. Mye av dekningen vil handle om hva meldingene avslører om partiet. Denne artikkelen tar en annen vinkling: hva en lekkasje av denne typen betyr for vanlige mennesker som dukker opp i andres innboks.
En merknad om omfang: kildeartikkelen er kort, og mange detaljer, som hvordan dataene ble hentet ut, hvem som publiserte dem, og nøyaktig hva e-postene inneholder, er ikke fastslått i materialet vi har. Vi holder oss til det som er rapportert, og forklarer de generelle risikoene som følger av enhver stor e-postlekkasje.
Hva ble publisert i AfD-e-postlekkasjen
Kjernefaktaene er begrensede. Partiet har tilsynelatende blitt utsatt for et datainnbrudd, og rundt 421 000 e-poster ble gjort offentlige. Heise beskriver materialet som et innblikk i partiet. Ordet «tilsynelatende» er viktig: innbruddet er rapportert, men lesere bør behandle ytterligere påstander som sirkulerer på nettet, med forsiktighet til partiet, etterforskere eller pålitelige medier bekrefter dem.
E-postarkiver er blant de mest avslørende typene lekkede data. I motsetning til en database med brukernavn, inneholder en e-postboks fritekstsamtaler, vedlegg, videresendte dokumenter, signaturer med telefonnumre og fulle headere som viser hvem som skrev til hvem og når. Selv om bare en brøkdel av de 421 000 meldingene inneholder sensitivt materiale, gjør volumet det vanskelig for noen å vite på forhånd hva som finnes der.
Hvem er eksponert utover partiet selv
De som mest sannsynlig blir berørt, er ikke nødvendigvis partiets ledere. Alle som har korrespondert med organisasjonen, kan dukke opp i arkivet: medlemmer som sendte søknader eller spørsmål, donorer, arrangementsdeltakere, journalister, leverandører, lokale tjenestepersoner og medlemmer av publikum som skrev inn med klager eller meninger. Ingen av dem kontrollerte hvordan partiet lagret eller beskyttet e-posten sin.
Det er den sentrale lærdommen fra organisatoriske datainnbrudd. Din eksponering avhenger av sikkerhetspraksisen til hver gruppe du kommuniserer med, ikke bare din egen. En person som skrev én enkelt melding til et politisk parti, kan nå ha navnet sitt, e-postadressen sin og eventuelle detaljer i den meldingen liggende i en offentlig dump.
I en politisk kontekst kan innsatsen være høyere enn i en typisk kommersiell lekkasje. Tilhørighet til et parti kan være sensitivt, og publisert korrespondanse kan føre til trakassering, doxxing eller målrettet phishing. Svindlere har også en tendens til å gjenbruke lekkede kontaktopplysninger for å lage overbevisende meldinger som refererer til ekte samtaler. Det samme mønsteret av sekundær skade dukker opp i andre hendelser vi har dekket, som Gyazo-datalekkasjen som eksponerte 23,6 millioner brukeroppføringer, der den reelle risikoen for enkeltpersoner kom fra hva andre kunne gjøre med de lekkede dataene i etterkant.
GDPR-plikter for partiet og rettigheter for berørte personer
Siden partiet opererer i Tyskland, er EUs personvernforordning (GDPR) det relevante rammeverket. Under GDPR må en organisasjon som utsettes for et personopplysningsbrudd, generelt varsle den kompetente tilsynsmyndigheten uten unødig forsinkelse, og der det er mulig innen 72 timer etter at de ble klar over det, med mindre bruddet sannsynligvis ikke vil sette personer i fare. Hvis risikoen for enkeltpersoner er høy, må organisasjonen også informere de berørte direkte. Politiske meninger behandles som en særlig kategori av personopplysninger under forordningen, noe som hever beskyttelsesnivået og granskingen.
Vi har ingen bekreftelse fra kildeartikkelen om hvorvidt varsler er sendt, så vi kan ikke si om partiet har oppfylt disse forpliktelsene. Det vi kan beskrive, er rettighetene folk har:
- Innsynsrett: du kan spørre en organisasjon om den har personopplysningene dine og be om en kopi.
- Retten til sletting: i mange tilfeller kan du be om at opplysningene dine slettes.
- Retten til å klage: du kan klage til en personvernmyndighet hvis du mener opplysningene dine er behandlet feil.
- Retten til erstatning: GDPR gir enkeltpersoner mulighet til å kreve erstatning for materiell eller immateriell skade forårsaket av brudd.
Hvis du noen gang har vært i kontakt med partiet, er en innsynsforespørsel en rimelig måte å finne ut hva de har om deg.
Hva dette betyr for deg
Du trenger ikke være partimedlem for å bli berørt av en lekkasje som dette. Hvis du har skrevet til, donert til eller registrert deg hos en organisasjon som er blitt utsatt for et datainnbrudd, bør du anta at detaljene i disse meldingene nå kan være offentlige. De praktiske risikoene er phishing, identitetsmisbruk og uønsket oppmerksomhet, snarere enn umiddelbar kontoovertakelse, med mindre et passord eller en innloggingslenke ble sendt på e-post.
Det siste punktet fortjener oppmerksomhet. Gamle e-poster inneholder ofte tilbakestillingslenker for passord, delte påloggingsopplysninger eller kontonumre. Hvis du noen gang har sendt eller mottatt slike detaljer i korrespondanse med den berørte organisasjonen, bør du behandle dem som kompromitterte. Store dumper med interne data, som den som er beskrevet i vår rapport om Valves 12TB Teraleak, viser hvordan forlengst glemt materiale kan dukke opp igjen mange år senere.
Hvordan beskytte deg selv etter et organisatorisk datainnbrudd
Du kan ikke fikse andres sikkerhet, men du kan begrense skaden på din side:
- Sjekk datalekkasjedatabaser. Søk etter e-postadressen din i en anerkjent tjeneste for varsling om datalekkasjer for å se om den dukker opp i kjente dumper.
- Bruk unike passord. En passordbehandler lar deg gi hver konto sitt eget passord, slik at én lekkasje ikke kan låse opp andre.
- Slå på tofaktorautentisering. Foretrekk en autentiseringsapp eller en fysisk nøkkel fremfor SMS der det er mulig.
- Vær skeptisk til meldinger som refererer til tidligere kontakt. Angripere kan sitere ekte detaljer fra lekkede e-poster. Verifiser gjennom en kanal du allerede stoler på, før du klikker eller svarer.
- Vurder et e-postalias. Å bruke separate adresser for ulike organisasjoner begrenser hva en enkelt lekkasje avslører om deg.
- Bruk GDPR-rettighetene dine. Spør hvilke data organisasjonen har, og be om sletting der det er hensiktsmessig.
En VPN hjelper ikke mot et innbrudd i noen andres e-postserver, siden eksponeringen skjer hos organisasjonen. Den er fortsatt nyttig for å beskytte din egen trafikk, men den er ikke en løsning her. Eksponering av personlige medier og identitetsdata, som i ClarityCheck-lekkasjen med 9 millioner ansiktsbilder, er en påminnelse om at dine beste forsvar er å minimere det du deler, og sikre det du ikke kan ta tilbake.
Viktige punkter
AfD-datalekkasjen med 421 000 e-poster er en påminnelse om at personvernet ditt er knyttet til vanene til hver organisasjon du skriver til. Sjekk om adressen din dukker opp i datalekkasjedumper, bytt til unike passord med tofaktorautentisering på hver viktig konto, og vær oppmerksom på meldinger som ser ut til å vite for mye om deg. For å se hvordan disse trinnene fungerer i praksis, les vår dekning av Gyazo-innbruddet og andre nylige eksponeringer, og kom tilbake etter hvert som flere verifiserte detaljer om denne lekkasjen kommer frem.
