471 milionów powiadomień, niewiele wyjaśnień: co wykazał raport

Nowy raport ujawnia oszałamiającą liczbę dotyczącą problemu, przed którym obrońcy prywatności ostrzegają od lat: w ciągu zaledwie sześciu miesięcy wysłano ponad 471 milionów powiadomień o naruszeniu danych. To nie pomyłka. Jeśli to tempo się utrzyma, daje to znacznie ponad pół miliarda powiadomień rocznie, dotykając skali populacji, którą trudno w pełni ogarnąć.

Jednak sama liczba nie jest nawet najbardziej niepokojąca. Zgodnie z raportem większość tych powiadomień nie wyjaśniała, w jaki sposób atakujący faktycznie się dostali. Żadnej wzmianki, czy był to e-mail phishingowy, niezałatany serwer, skradzione dane logowania czy skompromitowany zewnętrzny dostawca. Tylko mgliste potwierdzenie, że doszło do „nieautoryzowanego dostępu”, a po nim standardowe rady, by monitorować swoje konta.

To sedno problemu przejrzystości powiadomień o naruszeniach danych. Przepisy w większości jurysdykcji wymagają, by firmy informowały że doszło do naruszenia i jakie dane zostały ujawnione. Bardzo niewiele wymaga wyjaśnienia jak do niego doszło. Ta luka sprawia, że konsumenci nie są w stanie ocenić, czy praktyki bezpieczeństwa firmy były rozsądne, lekkomyślne, czy gdzieś pomiędzy, ani oszacować własnego rzeczywistego ryzyka na przyszłość.

Dlaczego firmy pozostają ogólnikowe w kwestii wektorów ataku

Istnieją praktyczne i prawne powody, dla których firmy ograniczają informacje o naruszeniach do minimum. Trwające dochodzenia, aktywne spory sądowe i ryzyko regulacyjne sprawiają, że zespoły prawne mają motywację, by mówić jak najmniej. Firma, która przyzna, że pozostawiła bazę danych niezaszyfrowaną lub zignorowała znaną lukę w oprogramowaniu, dostarcza amunicji pełnomocnikom powodów i regulatorom.

Do tego dochodzi kalkulacja reputacyjna. Szczegółowe techniczne ujawnienia mogą wyglądać jak przyznanie się do niekompetencji, podczas gdy ogólnikowe sformułowania w rodzaju „zaawansowany atak” czy „nieupoważniona osoba trzecia” brzmią bardziej jak pech niż zaniedbanie, nawet gdy prawda jest bliższa temu drugiemu. Przepisy dotyczące powiadamiania o naruszeniach w USA znacznie różnią się w zależności od stanu, a większość stawia niskie wymagania: powiadom osoby dotknięte naruszeniem, opisz kategorie ujawnionych danych i zaproponuj jakąś formę monitorowania kredytu. Niewiele nakazuje wyjaśnienie przyczyny źródłowej, a egzekwowanie nawet tych podstawowych wymogów jest niespójne.

W rezultacie powstaje system, w którym firmy spełniają literę prawa, dając konsumentom niemal nic, co mogliby wykorzystać do ochrony siebie lub pociągnięcia kogokolwiek do odpowiedzialności.

Ostatnie naruszenia pokazują powtarzający się schemat

To nie jest abstrakcyjny trend. Pojawia się w kolejnych naruszeniach trafiających na pierwsze strony gazet. Naruszenie danych w Humana, które dotknęło klientów w sześciu stanach, objęło jedne z najbardziej wrażliwych informacji, jakie ludzie posiadają – dokumentację medyczną – jednak publiczne szczegóły na temat metody ataku są ograniczone. Naruszenie w Novo Nordisk, gdzie atakujący twierdzili, że ukradli 1,3 terabajta danych z badań klinicznych, podobnie pozostawiło wiele pytań o punkt włamania bez odpowiedzi w publicznych oświadczeniach.

Ten wzorzec wykracza poza opiekę zdrowotną i farmację. Naruszenie danych w Odido ujawniło 6,2 miliona rekordów, w tym dane kont bankowych, a nawet naruszenie na festiwalu filmowym Tribeca, które dotknęło znanych uczestników, podążało za znajomym schematem: potwierdzenie, że dane zostały ujawnione, zapewnienie, że sprawa jest badana, i niewiele więcej. W różnych branżach i na różnych kontynentach schemat ujawniania informacji wygląda uderzająco podobnie – i uderzająco ubogo.

Jak się chronić, gdy szczegóły są pomijane

Ponieważ z reguły nie można liczyć na to, że firma dokładnie powie, w jaki sposób dane zostały ujawnione, bardziej użytecznym pytaniem jest to, co możesz kontrolować, niezależnie od otrzymanych wyjaśnień.

Zacznij od higieny danych logowania. Jeśli używasz tych samych haseł w różnych witrynach, naruszenie w jednej firmie staje się naruszeniem wszędzie tam, gdzie użyto tego samego hasła. Menedżer haseł, który generuje unikalne dane logowania dla każdego konta, niemal całkowicie eliminuje to ryzyko. Połącz to z uwierzytelnianiem wieloskładnikowym wszędzie tam, gdzie jest oferowane, ponieważ blokuje ono większość prób przejęcia konta, nawet gdy hasło wycieknie.

Monitoruj swoje konta i kredyt aktywnie, zamiast czekać na nadejście powiadomienia. Powiadomienia o naruszeniach często opóźniają się o miesiące w stosunku do rzeczywistego incydentu, więc gdy zostaniesz poinformowany, nietypowa aktywność mogła już się rozpocząć. Wiele banków i biur informacji kredytowej oferuje bezpłatne alerty o nowo otwartych kontach lub nietypowych opłatach – włącz je.

Podchodź sceptycznie do ogólnikowego języka powiadomień. Jeśli pismo mówi o „nieautoryzowanym dostępie” bez konkretów, potraktuj to jako sygnał do zamrożenia kredytu lub ustanowienia alertu o oszustwie, a nie powód do odprężenia. Weź też pod uwagę, że w miarę jak cyfrowe systemy tożsamości się rozwijają, stawka związana z tym, co jest centralizowane i jak dobrze chronione, będzie tylko rosła, czyniąc osobistą czujność jeszcze ważniejszą w przyszłości.

Co to oznacza dla Ciebie

Główna lekcja z tego raportu jest taka, że przejrzystość powiadomień o naruszeniach danych jest obecnie w dużej mierze aspiracją, a nie wiarygodnym standardem. Firmy są prawnie zobowiązane poinformować Cię, że doszło do naruszenia, ale nie muszą mówić, dlaczego do niego doszło ani jak można było mu zapobiec. Oznacza to, że odpowiedzialność za zmniejszenie własnego narażenia spada w nieproporcjonalnym stopniu na Ciebie.

To nie powód do paniki. To powód do zmiany nastawienia: traktuj każde konto jako potencjalną przyszłą ofiarę naruszenia, nie tylko te, z których już otrzymałeś powiadomienie. Używaj unikalnych haseł, włącz uwierzytelnianie wieloskładnikowe, regularnie monitoruj swoje konta finansowe i nie czekaj na korporacyjne powiadomienie, by powiedzieć Ci, że czas działać.

Praktyczne wskazówki:

  • Przejrzyj swoje hasła i przesiądź się na menedżera haseł, jeśli używasz tych samych danych logowania w różnych witrynach.
  • Włącz uwierzytelnianie wieloskładnikowe dla poczty e-mail, bankowości i każdego konta zawierającego wrażliwe dane.
  • Skonfiguruj bezpłatne alerty monitorowania konta i kredytu, zamiast czekać na powiadomienie o naruszeniu.
  • Potraktuj ogólnikowy język naruszeń („nieautoryzowany dostęp”, „zaawansowany atak”) jako sygnał do zamrożenia kredytu, a nie powód do lekceważenia ryzyka.
  • Śledź doniesienia o naruszeniach dotyczące firm, z których korzystasz, aby móc reagować na incydenty, zanim oficjalne powiadomienie w ogóle dotrze.