AfD:s dataintrång med 421 000 e-postmeddelanden har gett allmänheten en ovanlig inblick i ett tyskt politiskt parti. Enligt heise online har partiet "Alternative for Germany" uppenbarligen drabbats av ett intrång, och ungefär 421 000 e-postmeddelanden har publicerats. Rapportens rubrik hänvisar också till olagligt kopierade filer. Mycket av bevakningen kommer att fokusera på vad meddelandena avslöjar om partiet. Den här artikeln tar en annan vinkel: vad en läcka av det här slaget innebär för de vanliga människor som förekommer i någon annans inkorg.
En notering om omfattningen: källartikeln är kort, och många detaljer, som hur uppgifterna erhölls, vem som publicerade dem och exakt vad e-postmeddelandena innehåller, fastställs inte i det material vi har. Vi håller oss till det som har rapporterats och förklarar de allmänna risker som följer av varje stor e-postläcka.
Vad som publicerades i AfD:s e-postläcka
De centrala fakta är begränsade. Partiet har uppenbarligen drabbats av ett dataintrång, och omkring 421 000 e-postmeddelanden har offentliggjorts. Heise beskriver materialet som en inblick i partiet. Ordet "uppenbarligen" spelar roll: intrånget har rapporterats, men läsare bör behandla ytterligare påståenden som cirkulerar online med försiktighet tills partiet, utredare eller pålitliga medier bekräftar dem.
E-postarkiv är bland de mest avslöjande typerna av läckt data. Till skillnad från en databas med användarnamn innehåller en brevlåda fritextkonversationer, bilagor, vidarebefordrade dokument, signaturer med telefonnummer och fullständiga rubriker som visar vem som skrev till vem och när. Även om bara en bråkdel av de 421 000 meddelandena innehåller känsligt material gör volymen det svårt för någon att i förväg veta vad som finns där.
Vilka utsätts utöver partiet självt
De som mest sannolikt påverkas är inte nödvändigtvis partiets ledare. Alla som korresponderade med organisationen kan förekomma i arkivet: medlemmar som skickade ansökningar eller frågor, donatorer, evenemangsdeltagare, journalister, leverantörer, lokala tjänstemän och medlemmar av allmänheten som skrev in med klagomål eller åsikter. Ingen av dem kontrollerade hur partiet lagrade eller skyddade sin e-post.
Det är den centrala lärdomen av organisatoriska intrång. Din exponering beror på säkerhetspraxis hos varje grupp du kommunicerar med, inte bara din egen. En person som skrev ett enda meddelande till ett politiskt parti kan nu ha sitt namn, sin e-postadress och alla detaljer i det meddelandet liggande i en offentlig dump.
I ett politiskt sammanhang kan insatserna vara högre än vid en typisk kommersiell läcka. Koppling till ett parti kan vara känslig, och publicerad korrespondens kan leda till trakasserier, doxxning eller riktad nätfiske. Bedragare tenderar också att återanvända läckta kontaktuppgifter för att skapa övertygande meddelanden som hänvisar till verkliga konversationer. Samma mönster av sekundär skada framträder i andra incidenter vi har bevakat, såsom Gyazo-dataintrånget som exponerade 23,6 miljoner användarposter, där den verkliga risken för individer kom från vad andra kunde göra med de läckta uppgifterna efteråt.
GDPR-skyldigheter för partiet och rättigheter för drabbade personer
Eftersom partiet verkar i Tyskland är EU:s allmänna dataskyddsförordning det relevanta ramverket. Enligt GDPR måste en organisation som drabbas av en personuppgiftsincident i allmänhet anmäla den till den behöriga tillsynsmyndigheten utan onödigt dröjsmål, och där det är möjligt inom 72 timmar från att den fått kännedom om den, om inte incidenten sannolikt inte innebär en risk för personer. Om risken för individer är hög måste organisationen också informera de drabbade direkt. Politiska åsikter behandlas som en särskild kategori av personuppgifter enligt förordningen, vilket höjer skyddsnivån och granskningen.
Vi har ingen bekräftelse från källartikeln om huruvida anmälningar har gjorts, så vi kan inte säga om partiet har uppfyllt dessa skyldigheter. Det vi kan beskriva är de rättigheter som personer har:
- Rätt till tillgång: du kan fråga en organisation om den har dina personuppgifter och begära en kopia.
- Rätt till radering: under många omständigheter kan du begära att dina uppgifter raderas.
- Rätt att klaga: du kan lämna in ett klagomål till en dataskyddsmyndighet om du anser att dina uppgifter har hanterats felaktigt.
- Rätt till ersättning: GDPR tillåter individer att söka skadestånd för materiell eller immateriell skada orsakad av överträdelser.
Om du någonsin har varit i kontakt med partiet är en begäran om tillgång ett rimligt sätt att ta reda på vad de har om dig.
Vad detta innebär för dig
Du behöver inte vara partimedlem för att beröras av en läcka som denna. Om du har skrivit till, donerat till eller registrerat dig hos någon organisation som har drabbats av ett intrång, utgå från att uppgifterna i dessa meddelanden nu kan vara offentliga. De praktiska riskerna är nätfiske, identitetsutgivning och oönskad uppmärksamhet, snarare än omedelbart kontokapande, såvida inte ett lösenord eller en inloggningslänk skickades via e-post.
Den sista punkten förtjänar uppmärksamhet. Gamla e-postmeddelanden innehåller ofta länkar för återställning av lösenord, delade inloggningsuppgifter eller kontonummer. Om du någonsin skickade eller tog emot sådana uppgifter i korrespondens med den drabbade organisationen, behandla dem som komprometterade. Stora dumpar av intern data, som den som beskrivs i vår rapport om Valves 12TB Teraleak, visar hur sedan länge bortglömt material kan dyka upp igen år senare.
Hur du skyddar dig efter ett organisatoriskt intrång
Du kan inte åtgärda någon annans säkerhet, men du kan begränsa skadorna på din sida:
- Kontrollera databaserna över intrång. Sök din e-postadress i en pålitlig tjänst för intrångsaviseringar för att se om den förekommer i kända dumpar.
- Använd unika lösenord. En lösenordshanterare låter dig ge varje konto sitt eget lösenord, så att en läcka inte kan låsa upp andra.
- Aktivera tvåfaktorsautentisering. Föredra en autentiseringsapp eller hårdvarunyckel framför SMS där det är möjligt.
- Var skeptisk mot meddelanden som hänvisar till tidigare kontakt. Angripare kan citera verkliga detaljer från läckta e-postmeddelanden. Verifiera via en kanal du redan litar på innan du klickar eller svarar.
- Överväg ett e-postalias. Att använda separata adresser för olika organisationer begränsar vad en enda läcka avslöjar om dig.
- Utnyttja dina GDPR-rättigheter. Fråga vilka uppgifter organisationen har och begär radering där det är lämpligt.
En VPN hjälper inte mot ett intrång i någon annans e-postserver, eftersom exponeringen sker hos organisationen. Den är fortfarande användbar för att skydda din egen trafik, men den är inte en lösning här. Exponering av personliga medier och identitetsuppgifter, som i ClarityCheck-läckan med 9 miljoner ansiktsbilder, är en påminnelse om att dina bästa försvar är att minimera vad du delar och säkra det du inte kan ta tillbaka.
Viktiga slutsatser
AfD:s dataintrång med 421 000 e-postmeddelanden är en påminnelse om att din integritet är knuten till vanorna hos varje organisation du skriver till. Kontrollera om din adress förekommer i intrångsdumpar, byt till unika lösenord med tvåfaktorsautentisering på varje viktigt konto och var uppmärksam på meddelanden som verkar veta för mycket om dig. För att se hur dessa steg fungerar i praktiken, läs vår bevakning av Gyazo-intrånget och andra nyliga exponeringar, och kom tillbaka när fler verifierade detaljer om denna läcka framkommer.
