Утечка данных AfD, в результате которой были опубликованы 421 000 писем, дала общественности необычный взгляд на внутреннюю жизнь немецкой политической партии. По данным heise online, партия «Альтернатива для Германии», по-видимому, подверглась взлому, и было опубликовано примерно 421 000 писем. Заголовок отчёта также упоминает незаконно скопированные файлы. Значительная часть материалов будет посвящена тому, что эти сообщения говорят о партии. Эта статья рассматривает вопрос под другим углом: что подобная утечка означает для обычных людей, которые оказываются в чужом почтовом ящике.

Замечание об охвате: исходная статья короткая, и многие детали — например, как были получены данные, кто их опубликовал и что именно содержится в письмах, — не установлены в имеющихся у нас материалах. Мы придерживаемся того, что было сообщено, и объясняем общие риски, вытекающие из любой крупной утечки электронной почты.

Что было опубликовано в утечке писем AfD

Основные факты ограничены. Партия, по-видимому, подверглась утечке данных, и около 421 000 писем были обнародованы. Heise описывает материал как дающий представление о внутренней жизни партии. Слово «по-видимому» имеет значение: об утечке было сообщено, но читателям следует с осторожностью относиться к дальнейшим утверждениям, распространяемым в сети, пока партия, следователи или надёжные источники их не подтвердят.

Почтовые архивы — один из наиболее разоблачающих видов утёкших данных. В отличие от базы данных с именами пользователей, почтовый ящик содержит переписку в свободной форме, вложения, пересланные документы, подписи с номерами телефонов и полные заголовки, показывающие, кто кому писал и когда. Даже если лишь часть из 421 000 сообщений содержит конфиденциальные материалы, объём делает невозможным для кого-либо заранее знать, что там находится.

Кто подвержен риску помимо самой партии

Люди, наиболее вероятно затронутые, — не обязательно лидеры партии. Любой, кто переписывался с организацией, может оказаться в архиве: члены партии, направлявшие заявления или вопросы, жертвователи, участники мероприятий, журналисты, поставщики, местные чиновники и представители общественности, писавшие с жалобами или мнениями. Никто из них не контролировал, как партия хранила или защищала свою почту.

В этом заключается главный урок организационных утечек. Ваша подверженность риску зависит от практик безопасности каждой группы, с которой вы общаетесь, а не только от ваших собственных. Человек, написавший одно-единственное сообщение политической партии, может теперь обнаружить своё имя, адрес электронной почты и любые детали из этого сообщения в публичном дампе.

В политическом контексте ставки могут быть выше, чем при типичной коммерческой утечке. Связь с партией может быть чувствительной, а опубликованная переписка может привести к травле, доксингу или целевому фишингу. Мошенники также склонны использовать утёкшие контактные данные для составления убедительных сообщений, ссылающихся на реальные разговоры. Та же схема вторичного вреда проявляется и в других инцидентах, которые мы освещали, например в утечке данных Gyazo, раскрывшей 23,6 млн пользовательских записей, где реальный риск для людей исходил из того, что другие могли сделать с утёкшими данными впоследствии.

Обязанности партии по GDPR и права затронутых лиц

Поскольку партия действует в Германии, соответствующим правовым框架 является Общий регламент ЕС по защите данных (GDPR). Согласно GDPR, организация, пострадавшая от утечки персональных данных, как правило, обязана уведомить компетентный надзорный орган без неоправданной задержки и, где это осуществимо, в течение 72 часов с момента обнаружения, если только утечка вряд ли создаст риск для людей. Если риск для отдельных лиц высок, организация также обязана напрямую информировать затронутых лиц. Политические взгляды рассматриваются регламентом как особая категория персональных данных, что повышает уровень защиты и надзора.

У нас нет подтверждения из исходной статьи о том, были ли сделаны уведомления, поэтому мы не можем сказать, выполнила ли партия эти обязательства. Что мы можем описать — это права, которыми обладают люди:

  • Право на доступ: вы можете запросить у организации, хранит ли она ваши персональные данные, и запросить их копию.
  • Право на удаление: во многих обстоятельствах вы можете потребовать удаления ваших данных.
  • Право на жалобу: вы можете подать жалобу в орган по защите данных, если считаете, что с вашими данными обращались ненадлежащим образом.
  • Право на компенсацию: GDPR позволяет лицам требовать возмещения материального или нематериального вреда, причинённого нарушениями.

Если вы когда-либо контактировали с партией, направление запроса на доступ — разумный способ узнать, какие данные о вас у неё есть.

Что это значит для вас

Вам не нужно быть членом партии, чтобы пострадать от подобной утечки. Если вы писали, жертвовали или регистрировались в какой-либо организации, подвергшейся утечке, исходите из того, что детали из этих сообщений теперь могут быть публичными. Практические риски — это фишинг, выдача себя за другое лицо и нежелательное внимание, а не немедленный захват аккаунта, если только пароль или ссылка для входа не были отправлены по электронной почте.

Последний пункт заслуживает внимания. Старые письма часто содержат ссылки для сброса пароля, общие учётные данные или номера счетов. Если вы когда-либо отправляли или получали такие данные в переписке с затронутой организацией, считайте их скомпрометированными. Крупные дампы внутренних данных, подобные описанному в нашем отчёте об утечке Valve на 12 ТБ, показывают, как давно забытые материалы могут всплыть спустя годы.

Как защитить себя после организационной утечки

Вы не можете исправить чужую безопасность, но можете ограничить ущерб на своей стороне:

  1. Проверьте базы утечек. Найдите свой адрес электронной почты в надёжном сервисе уведомлений об утечках, чтобы узнать, появляется ли он в известных дампах.
  2. Используйте уникальные пароли. Менеджер паролей позволяет задать каждому аккаунту собственный пароль, чтобы одна утечка не открыла доступ к другим.
  3. Включите двухфакторную аутентификацию. По возможности предпочитайте приложение-аутентификатор или аппаратный ключ SMS.
  4. Скептически относитесь к сообщениям, ссылающимся на прошлые контакты. Злоумышленники могут цитировать реальные детали из утёкших писем. Проверяйте через канал, которому вы уже доверяете, прежде чем нажимать или отвечать.
  5. Рассмотрите псевдоним электронной почты. Использование отдельных адресов для разных организаций ограничивает то, что одна утечка раскрывает о вас.
  6. Воспользуйтесь своими правами по GDPR. Запросите, какие данные хранит организация, и потребуйте удаления, где это уместно.

VPN не помогает против утечки чужого почтового сервера, поскольку раскрытие происходит в организации. Он остаётся полезным для защиты вашего собственного трафика, но здесь он не является средством решения. Раскрытие личных медиаданных и идентификационной информации, как в утечке ClarityCheck, затронувшей 9 миллионов изображений лиц, напоминает, что ваша лучшая защита — минимизировать то, чем вы делитесь, и защищать то, что вы не можете вернуть.

Ключевые выводы

Утечка данных AfD, затронувшая 421 000 писем, напоминает, что ваша приватность связана с привычками каждой организации, которой вы пишете. Проверьте, появляется ли ваш адрес в дампах утечек, перейдите на уникальные пароли с двухфакторной аутентификацией на каждом важном аккаунте и следите за сообщениями, которые, кажется, знают о вас слишком много. Чтобы увидеть, как эти шаги работают на практике, прочитайте наш материал об утечке Gyazo и других недавних раскрытиях, и заходите снова по мере появления новых подтверждённых деталей об этой утечке.