Naruszenie danych AfD, w wyniku którego ujawniono 421 000 e-maili, dało opinii publicznej nietypowy wgląd w wnętrze niemieckiej partii politycznej. Według heise online partia „Alternatywa dla Niemiec” najwyraźniej padła ofiarą naruszenia bezpieczeństwa, a opublikowano około 421 000 e-maili. Nagłówek artykułu odnosi się również do nielegalnie skopiowanych plików. Wiele relacji skupi się na tym, co wiadomości mówią o partii. Ten artykuł przyjmuje inną perspektywę: co tego rodzaju wyciek oznacza dla zwykłych ludzi, którzy pojawiają się w czyjejś skrzynce odbiorczej.

Uwaga dotycząca zakresu: artykuł źródłowy jest krótki, a wiele szczegółów — takich jak sposób pozyskania danych, kto je opublikował i co dokładnie zawierają e-maile — nie zostało ustalonych w materiale, którym dysponujemy. Trzymamy się tego, co zostało zgłoszone, i wyjaśniamy ogólne ryzyka wynikające z każdego dużego wycieku e-maili.

Co opublikowano w wycieku e-maili AfD

Podstawowe fakty są ograniczone. Partia najwyraźniej padła ofiarą naruszenia danych, a około 421 000 e-maili zostało upublicznionych. Heise opisuje materiał jako oferujący wgląd w wnętrze partii. Słowo „najwyraźniej” ma znaczenie: o naruszeniu poinformowano, ale czytelnicy powinni ostrożnie podchodzić do dalszych twierdzeń krążących w internecie, dopóki partia, śledczy lub wiarygodne media ich nie potwierdzą.

Archiwa e-maili należą do najbardziej odkrywczych rodzajów ujawnianych danych. W przeciwieństwie do bazy nazw użytkowników, skrzynka pocztowa zawiera swobodne rozmowy tekstowe, załączniki, przekazywane dokumenty, podpisy z numerami telefonów i pełne nagłówki pokazujące, kto do kogo pisał i kiedy. Nawet jeśli tylko niewielka część z 421 000 wiadomości zawiera wrażliwy materiał, sama ich liczba sprawia, że trudno z góry wiedzieć, co się w nich znajduje.

Kto jest narażony poza samą partią

Osoby najbardziej narażone niekoniecznie są przywódcami partii. Każdy, kto korespondował z organizacją, może pojawić się w archiwum: członkowie, którzy wysyłali podania lub pytania, darczyńcy, uczestnicy wydarzeń, dziennikarze, dostawcy, lokalni urzędnicy oraz obywatele, którzy pisali ze skargami lub opiniami. Żadna z tych osób nie miała wpływu na to, jak partia przechowywała lub chroniła swoją pocztę.

To jest główna lekcja płynąca z naruszeń w organizacjach. Twoje narażenie zależy od praktyk bezpieczeństwa każdej grupy, z którą się komunikujesz, a nie tylko od własnych. Osoba, która napisała jedną wiadomość do partii politycznej, może teraz mieć swoje imię i nazwisko, adres e-mail oraz wszelkie szczegóły zawarte w tej wiadomości w publicznym zrzucie danych.

W kontekście politycznym stawka może być wyższa niż w typowym wycieku komercyjnym. Przynależność do partii może być wrażliwa, a opublikowana korespondencja może prowadzić do nękania, doxxingu lub ukierunkowanego phishingu. Oszuści mają również tendencję do wykorzystywania ujawnionych danych kontaktowych do tworzenia przekonujących wiadomości odwołujących się do prawdziwych rozmów. Ten sam wzorzec wtórnych szkód pojawia się w innych incydentach, które opisaliśmy, takich jak naruszenie danych Gyazo, które ujawniło 23,6 mln rekordów użytkowników, gdzie rzeczywiste ryzyko dla jednostek wynikało z tego, co inni mogli zrobić z ujawnionymi danymi później.

Obowiązki RODO dla partii i prawa osób poszkodowanych

Ponieważ partia działa w Niemczech, właściwym ramem prawnym jest unijne ogólne rozporządzenie o ochronie danych (RODO). Zgodnie z RODO organizacja, która doświadczy naruszenia danych osobowych, co do zasady musi powiadomić właściwy organ nadzorczy bez zbędnej zwłoki, a jeśli to wykonalne — w ciągu 72 godzin od stwierdzenia naruszenia, chyba że jest mało prawdopodobne, by naruszenie stwarzało ryzyko dla osób. Jeśli ryzyko dla jednostek jest wysokie, organizacja musi również poinformować osoby poszkodowane bezpośrednio. Opinie polityczne są traktowane jako szczególna kategoria danych osobowych w rozporządzeniu, co podnosi poziom ochrony i nadzoru.

Nie mamy potwierdzenia z artykułu źródłowego, czy powiadomienia zostały dokonane, więc nie możemy stwierdzić, czy partia spełniła te obowiązki. Możemy natomiast opisać prawa, które przysługują ludziom:

  • Prawo dostępu: możesz zapytać organizację, czy przechowuje Twoje dane osobowe, i zażądać ich kopii.
  • Prawo do usunięcia: w wielu okolicznościach możesz zażądać usunięcia swoich danych.
  • Prawo do skargi: możesz złożyć skargę do organu ochrony danych, jeśli uważasz, że Twoje dane zostały niewłaściwie obsłużone.
  • Prawo do odszkodowania: RODO pozwala jednostkom dochodzić odszkodowania za szkody materialne lub niematerialne spowodowane naruszeniami.

Jeśli kiedykolwiek kontaktowałeś się z partią, wysłanie wniosku o dostęp jest rozsądnym sposobem, aby dowiedzieć się, jakie dane na Twój temat posiada.

Co to oznacza dla Ciebie

Nie musisz być członkiem partii, aby zostać dotkniętym takim wyciekiem. Jeśli pisałeś do jakiejkolwiek organizacji, która padła ofiarą naruszenia, dokonywałeś na jej rzecz darowizn lub rejestrowałeś się w niej, zakładaj, że szczegóły zawarte w tych wiadomościach mogą być teraz publiczne. Praktyczne ryzyka to phishing, podszywanie się i niechciana uwaga, a nie natychmiastowe przejęcie konta — chyba że hasło lub link do logowania został wysłany e-mailem.

Ten ostatni punkt zasługuje na uwagę. Stare e-maile często zawierają linki do resetowania hasła, współdzielone dane logowania lub numery kont. Jeśli kiedykolwiek wysyłałeś lub otrzymywałeś takie dane w korespondencji z poszkodowaną organizacją, traktuj je jako skompromitowane. Duże zrzuty danych wewnętrznych, takie jak ten opisany w naszym raporcie o 12TB Teraleak Valve, pokazują, jak dawno zapomniany materiał może wypłynąć po latach.

Jak chronić się po naruszeniu w organizacji

Nie możesz naprawić czyjegoś bezpieczeństwa, ale możesz ograniczyć szkody po swojej stronie:

  1. Sprawdź bazy naruszeń. Wyszukaj swój adres e-mail w renomowanym serwisie powiadamiającym o naruszeniach, aby sprawdzić, czy pojawia się w znanych zrzutach danych.
  2. Używaj unikalnych haseł. Menedżer haseł pozwala nadać każdemu kontu własne hasło, dzięki czemu jeden wyciek nie odblokuje innych.
  3. Włącz uwierzytelnianie dwuskładnikowe. Jeśli to możliwe, preferuj aplikację uwierzytelniającą lub klucz sprzętowy zamiast SMS-ów.
  4. Bądź sceptyczny wobec wiadomości odwołujących się do przeszłych kontaktów. Atakujący mogą cytować prawdziwe szczegóły z ujawnionych e-maili. Zweryfikuj przez kanał, któremu już ufasz, zanim klikniesz lub odpowiesz.
  5. Rozważ alias e-mailowy. Używanie oddzielnych adresów dla różnych organizacji ogranicza to, co pojedynczy wyciek ujawnia na Twój temat.
  6. Korzystaj ze swoich praw wynikających z RODO. Zapytaj, jakie dane posiada organizacja, i zażądaj ich usunięcia, gdzie to właściwe.

VPN nie pomaga w przypadku naruszenia czyjegoś serwera pocztowego, ponieważ ekspozycja następuje po stronie organizacji. Pozostaje przydatny do ochrony własnego ruchu, ale nie jest tu rozwiązaniem. Ujawnienie prywatnych multimediów i danych tożsamości, jak w przypadku wycieku ClarityCheck obejmującego 9 milionów zdjęć twarzy, przypomina, że najlepszą obroną jest minimalizowanie tego, co udostępniasz, i zabezpieczanie tego, czego nie możesz cofnąć.

Najważniejsze wnioski

Naruszenie danych AfD obejmujące 421 000 e-maili przypomina, że Twoja prywatność jest związana z nawykami każdej organizacji, do której piszesz. Sprawdź, czy Twój adres pojawia się w zrzutach naruszeń, przejdź na unikalne hasła z uwierzytelnianiem dwuskładnikowym na każdym ważnym koncie i uważaj na wiadomości, które wydają się wiedzieć o Tobie zbyt wiele. Aby zobaczyć, jak te kroki działają w praktyce, przeczytaj naszą relację o naruszeniu Gyazo i innych niedawnych ujawnień, oraz zaglądaj tu, gdy pojawią się kolejne zweryfikowane szczegóły tego wycieku.