471 de milioane de notificări, puține explicații: ce a constatat raportul

Un nou raport a scos la iveală o cifră uluitoare pentru o problemă semnalată de ani de zile de apărătorii vieții private: peste 471 de milioane de notificări de încălcare a datelor au fost trimise în doar șase luni. Nu e o greșeală de tipar. Asta înseamnă peste o jumătate de miliard de notificări pe an, dacă ritmul se menține, afectând o parte a populației la o scară greu de procesat pe deplin.

Dar volumul nu este nici măcar cel mai îngrijorător aspect. Potrivit raportului, majoritatea acestor notificări nu au explicat cum au pătruns atacatorii. Nicio mențiune dacă a fost vorba de un e-mail de phishing, un server neactualizat, o credențială furată sau un furnizor terț care a fost compromis. Doar o recunoaștere vagă că a avut loc un „acces neautorizat”, urmată de sfaturi standard de monitorizare a conturilor.

Aceasta este esența problemei transparenței notificărilor privind breșele de date. Legile din majoritatea jurisdicțiilor obligă companiile să vă spună că a avut loc o breșă și ce date au fost expuse. Foarte puține le cer să explice cum s-a întâmplat. Această lacună îi lasă pe consumatori în imposibilitatea de a judeca dacă practicile de securitate ale unei companii au fost rezonabile, neglijente sau undeva la mijloc și de a-și evalua propriul risc real pe viitor.

De ce companiile rămân vagi cu privire la vectorii de atac

Există motive practice și juridice pentru care companiile păstrează subțiri dezvăluirile despre breșe. Investigațiile în curs, litigiile active și expunerea la reglementări stimulează echipele juridice să spună cât mai puțin posibil. O companie care recunoaște că a lăsat o bază de date necriptată sau că a ignorat o vulnerabilitate software cunoscută oferă muniție avocaților reclamanților și autorităților de reglementare.

Există și un calcul reputațional. Dezvăluirile tehnice detaliate pot părea o admitere a incompetenței, în timp ce un limbaj vag precum „atac sofisticat” sau „terț neautorizat” sună mai degrabă a ghinion decât a neglijență, chiar și atunci când adevărul este mai aproape de cea din urmă. Legile privind notificarea breșelor din SUA variază semnificativ de la un stat la altul, iar majoritatea stabilesc o ștachetă joasă: notifică persoanele afectate, descrie categoriile de date expuse și oferă o formă de monitorizare a creditului. Puține impun o explicație a cauzei profunde, iar aplicarea chiar și a acestor cerințe de bază este inconstantă.

Rezultatul este un sistem în care companiile satisfac litera legii, oferind consumatorilor aproape nimic din ce ar putea folosi pentru a se proteja sau a trage pe cineva la răspundere.

Breșele recente arată că tiparul se repetă

Acesta nu este un trend abstract. Se manifestă într-o breșă după alta care ajunge pe prima pagină. Breșa de date Humana care a afectat clienți din șase state a implicat unele dintre cele mai sensibile informații pe care le dețin oamenii, dosarele medicale, însă detaliile publice despre metoda de atac au fost limitate. Breșa Novo Nordisk, în care atacatorii au susținut că au furat 1,3 terabytes de date din studii clinice, a lăsat, de asemenea, multe întrebări legate de punctul de intrare fără răspuns în declarațiile publice.

Tiparul se extinde dincolo de domeniul sănătății și al farmaceuticii. Breșa de date Odido a expus 6,2 milioane de înregistrări, inclusiv detalii ale conturilor bancare, iar chiar și breșa de la Festivalul de Film Tribeca care i-a afectat pe participanții celebri a urmat scenariul familiar: confirmarea că datele au fost expuse, asigurări că situația este investigată și cam atât. În toate industriile și continentele, manualul de dezvăluire arată remarcabil de consecvent și remarcabil de subțire.

Cum să vă protejați atunci când detaliile sunt reținute

Întrucât, în general, nu puteți conta pe o companie să vă spună exact cum au fost expuse datele dvs., întrebarea mai utilă este ce puteți controla indiferent de explicația pe care o primiți.

Începeți cu igiena credențialelor. Dacă refolosiți parolele pe mai multe site-uri, o breșă la o companie devine o breșă peste tot unde ați folosit aceeași parolă. Un manager de parole care generează credențiale unice pentru fiecare cont elimină aproape complet acest risc. Asociați-l cu autentificarea multi-factor oriunde este oferită, deoarece blochează majoritatea tentativelor de preluare a conturilor chiar și atunci când o parolă se scurge.

Monitorizați-vă conturile și situația creditului în mod proactiv, în loc să așteptați să sosească o notificare. Notificările de breșe întârzie adesea cu luni față de incidentul real, așa că până când sunteți anunțat, este posibil ca activitatea neobișnuită să fi început deja. Multe bănci și birouri de credit oferă alerte gratuite pentru deschiderea de noi conturi sau tranzacții neobișnuite; activați-le.

Fiți sceptici cu privire la limbajul vag al notificărilor. Dacă o scrisoare menționează „acces neautorizat” fără detalii, tratați-o ca pe un semnal de a vă îngheța creditul sau de a plasa o alertă de fraudă, mai degrabă decât un motiv de relaxare. Și luați în considerare că, pe măsură ce sistemele de identitate digitală se extind, miza legată de ceea ce se centralizează și cât de bine este protejat va crește, făcând vigilența personală și mai importantă pe viitor.

Ce înseamnă asta pentru dvs.

Lecția principală din acest raport este că transparența notificărilor privind breșele de date este în mare parte un deziderat, nu un standard de încredere. Companiile sunt obligate legal să vă spună că a avut loc o breșă, dar nu să vă spună de ce s-a întâmplat sau cum ar fi putut fi prevenită. Asta înseamnă că responsabilitatea de a vă reduce propria expunere cade disproporționat asupra dvs.

Acesta nu este un motiv de panică. Este un motiv pentru o schimbare de mentalitate: tratați fiecare cont ca pe o potențială victimă viitoare a unei breșe, nu doar pe cele care v-au trimis deja o notificare. Folosiți parole unice, activați autentificarea multi-factor, monitorizați-vă conturile financiare periodic și nu așteptați ca o dezvăluire corporativă să vă spună că este timpul să acționați.

Concluzii practice:

  • Auditați-vă parolele și treceți la un manager de parole dacă refolosiți credențiale pe mai multe site-uri.
  • Activați autentificarea multi-factor pentru e-mail, servicii bancare și orice cont care conține date sensibile.
  • Configurați alerte gratuite de monitorizare a conturilor și a creditului, în loc să așteptați o notificare de breșă.
  • Tratați limbajul vag al breșelor („acces neautorizat”, „atac sofisticat”) ca pe un impuls de a vă îngheța creditul, nu un motiv de a ignora riscul.
  • Urmăriți știrile despre breșele de date pentru companiile pe care le folosiți, astfel încât să puteți acționa în legătură cu incidentele chiar înainte de a primi o notificare oficială.