471 miljoner meddelanden, lite förklaring: vad rapporten fann

En ny rapport har satt en häpnadsväckande siffra på ett problem som integritetsförespråkare har varnat för i åratal: över 471 miljoner meddelanden om dataintrång skickades ut på bara sex månader. Det är inget stavfel. Det motsvarar långt över en halv miljard meddelanden årligen om takten håller i sig, och berör en så stor del av befolkningen att det är svårt att riktigt ta in.

Men volymen är inte ens den mest oroande delen. Enligt rapporten förklarade de flesta av dessa meddelanden inte hur angriparna faktiskt tog sig in. Inget omnämnande av om det var ett phishing-mejl, en opatchad server, en stulen inloggningsuppgift eller en komprometterad tredjepartsleverantör. Bara ett vagt erkännande att "obehörig åtkomst" inträffade, följt av standardiserade råd om att övervaka sina konton.

Detta är själva kärnan i problemet med transparens kring meddelanden om dataintrång. Lagar i de flesta jurisdiktioner kräver att företag berättar att ett intrång har skett och vilken data som exponerats. Mycket få kräver att de förklarar hur det gick till. Den luckan gör att konsumenter inte kan bedöma om ett företags säkerhetsrutiner var rimliga, vårdslösa eller något däremellan, och inte heller kan bedöma sin egen verkliga risk framöver.

Varför företag förblir vaga om attackvektorer

Det finns praktiska och juridiska skäl till att företag håller information om intrång knapphändig. Pågående utredningar, aktiva rättstvister och exponering mot tillsynsmyndigheter ger alla juridiska team incitament att säga så lite som möjligt. Ett företag som medger att det lämnade en databas okrypterad eller ignorerade en känd sårbarhet i programvara ger ammunition åt målsägandens advokater och tillsynsmyndigheter.

Det finns också en ryktesmässig kalkyl. Detaljerade tekniska avslöjanden kan se ut som ett erkännande av inkompetens, medan vaga formuleringar som "sofistikerad attack" eller "obehörig tredje part" låter mer som otur än vårdslöshet, även när sanningen ligger närmare det senare. Lagar om meddelande om dataintrång i USA varierar avsevärt mellan delstater, och de flesta sätter en låg ribba: meddela berörda personer, beskriv kategorierna av exponerade data och erbjud någon form av kreditövervakning. Få kräver en förklaring av grundorsaken, och efterlevnaden av ens dessa minimikrav är inkonsekvent.

Resultatet är ett system där företag uppfyller lagens bokstav men ger konsumenter nästan ingenting som de kan använda för att skydda sig själva eller hålla någon ansvarig.

Nya intrång visar att mönstret upprepar sig

Det här är ingen abstrakt trend. Den dyker upp i intrång efter intrång som skapar rubriker. Humana-dataintrånget som drabbade kunder i sex delstater involverade några av de mest känsliga uppgifter människor har, journaler, men offentliga detaljer om attackmetoden har varit begränsade. Novo Nordisk-intrånget, där angripare påstod sig ha stulit 1,3 terabyte data från kliniska prövningar, lämnade på samma sätt många frågor om intrångspunkten obesvarade i offentliga uttalanden.

Mönstret sträcker sig bortom sjukvård och läkemedel. Odido-dataintrånget exponerade 6,2 miljoner poster inklusive bankkontouppgifter, och till och med Tribeca Film Festival-intrånget som berörde högprofilerade deltagare följde det bekanta manuset: bekräftelse på att data exponerats, försäkran om att saken utreds, och lite annat. Över branscher och kontinenter ser avslöjandets spelbok anmärkningsvärt konsekvent ut, och anmärkningsvärt tunn.

Hur du skyddar dig när detaljer undanhålls

Eftersom du i allmänhet inte kan räkna med att ett företag berättar exakt hur dina data exponerades, är den mer användbara frågan vad du kan kontrollera oavsett vilken förklaring du får.

Börja med inloggningshygien. Om du återanvänder lösenord på olika webbplatser blir ett intrång hos ett företag ett intrång överallt där du använde samma lösenord. En lösenordshanterare som genererar unika inloggningsuppgifter för varje konto tar bort denna risk nästan helt. Kombinera det med flerfaktorsautentisering där det erbjuds, eftersom det blockerar de flesta försök att ta över konton även när ett lösenord läcker.

Övervaka dina konton och din kredit proaktivt istället för att vänta på att ett meddelande ska komma. Meddelanden om intrång ligger ofta månader efter den faktiska händelsen, så när du får beskedet kan ovanlig aktivitet redan ha börjat. Många banker och kreditupplysningsföretag erbjuder kostnadsfria aviseringar för nya konton eller ovanliga avgifter; aktivera dem.

Var skeptisk mot vaga meddelandeformuleringar. Om ett brev säger "obehörig åtkomst" utan detaljer, behandla det som en signal att frysa din kredit eller placera en bedrägerivarning snarare än en anledning att slappna av. Och betänk att i takt med att digitala ID-system expanderar kommer riskerna kring vad som centraliseras och hur väl det skyddas bara att öka, vilket gör personlig vaksamhet ännu viktigare framöver.

Vad det här betyder för dig

Den viktigaste lärdomen från denna rapport är att transparens kring meddelanden om dataintrång till stor del är önsketänkande just nu, inte en pålitlig standard. Företag är juridiskt skyldiga att berätta för dig att ett intrång har skett, men inte att berätta varför det hände eller hur det kunde ha förhindrats. Det innebär att ansvaret för att minska din egen exponering faller oproportionerligt mycket på dig.

Detta är inte en anledning till panik. Det är en anledning att byta tankesätt: behandla varje konto som ett potentiellt framtida intrångsoffer, inte bara de som redan har skickat dig ett meddelande. Använd unika lösenord, aktivera flerfaktorsautentisering, övervaka dina finansiella konton regelbundet och vänta inte på att ett företag ska tala om att det är dags att agera.

Praktiska åtgärder:

  • Granska dina lösenord och byt till en lösenordshanterare om du återanvänder inloggningsuppgifter på olika webbplatser.
  • Aktivera flerfaktorsautentisering för e-post, banktjänster och alla konton som innehåller känslig data.
  • Sätt upp kostnadsfria aviseringar för konto- och kreditövervakning istället för att vänta på ett intrångsmeddelande.
  • Behandla vaga intrångsformuleringar ("obehörig åtkomst", "sofistikerad attack") som en uppmaning att frysa krediten, inte som en anledning att avfärda risken.
  • Följ rapportering om intrång för företag du använder så att du kan agera på händelser innan ett officiellt meddelande ens kommer.