ประกาศ 471 ล้านฉบับ คำอธิบายน้อยนิด: สิ่งที่รายงานค้นพบ

รายงานใหม่ได้เปิดเผยตัวเลขที่น่าตกใจของปัญหาที่ผู้สนับสนุนความเป็นส่วนตัวได้เตือนมาหลายปี: ประกาศแจ้งเตือนการละเมิดข้อมูลมากกว่า 471 ล้านฉบับถูกส่งออกไปในเวลาเพียงหกเดือน นั่นไม่ใช่การพิมพ์ผิด หากอัตรานี้ยังคงอยู่ จะคิดเป็นจำนวนมากกว่าครึ่งพันล้านฉบับต่อปี กระทบประชากรในระดับที่ยากจะเข้าใจได้ทั้งหมด

แต่ปริมาณไม่ใช่ส่วนที่น่ากังวลที่สุดเสียด้วยซ้ำ ตามรายงาน ประกาศส่วนใหญ่เหล่านั้นล้มเหลวในการอธิบายว่าผู้โจมตีเข้ามาได้อย่างไร ไม่มีการกล่าวถึงว่าเป็นอีเมลฟิชชิ่ง เซิร์ฟเวอร์ที่ไม่มีแพตช์ ข้อมูลประจำตัวที่ถูกขโมย หรือผู้ให้บริการบุคคลที่สามที่ถูกบุกรุก มีเพียงการรับรู้อย่างคลุมเครือว่าเกิด "การเข้าถึงโดยไม่ได้รับอนุญาต" แล้วตามด้วยคำแนะนำมาตรฐานให้เฝ้าระวังบัญชีของคุณ

นี่คือหัวใจของปัญหาความโปร่งใสในการแจ้งเตือนการละเมิดข้อมูล กฎหมายในเขตอำนาจศาลส่วนใหญ่กำหนดให้บริษัทต้องบอกคุณ ว่า การละเมิดเกิดขึ้น และ ข้อมูลอะไร ที่ถูกเปิดเผย น้อยมากที่กำหนดให้ต้องอธิบายว่า มันเกิดขึ้นได้อย่างไร ช่องว่างนั้นทำให้ผู้บริโภคไม่สามารถตัดสินได้ว่าแนวปฏิบัติด้านความปลอดภัยของบริษัทนั้นสมเหตุสมผล สะเพร่า หรืออยู่ระหว่างนั้น และไม่สามารถประเมินความเสี่ยงที่แท้จริงของตัวเองต่อไปได้

เหตุใดบริษัทจึงคลุมเครือเกี่ยวกับช่องทางโจมตี

มีเหตุผลในทางปฏิบัติและทางกฎหมายที่บริษัทเก็บการเปิดเผยข้อมูลการละเมิดให้บางเบา การสอบสวนที่กำลังดำเนินอยู่ การดำเนินคดีที่ยังค้างอยู่ และความเสี่ยงด้านกฎระเบียบ ล้วนให้แรงจูงใจแก่ทีมกฎหมายที่จะพูดให้น้อยที่สุดเท่าที่จะทำได้ บริษัทที่ยอมรับว่าปล่อยให้ฐานข้อมูลไม่เข้ารหัสหรือละเลยช่องโหว่ซอฟต์แวร์ที่ทราบแล้ว กำลังมอบกระสุนให้ทนายความฝ่ายโจทก์และหน่วยงานกำกับดูแล

ยังมีการคำนวณด้านชื่อเสียงอีกด้วย การเปิดเผยทางเทคนิคอย่างละเอียดอาจดูเหมือนการยอมรับความไร้ความสามารถ ในขณะที่ภาษาที่คลุมเครือเช่น "การโจมตีที่ซับซ้อน" หรือ "บุคคลที่สามที่ไม่ได้รับอนุญาต" ฟังดูเหมือนโชคร้ายมากกว่าความประมาท แม้ว่าความจริงจะใกล้เคียงกับอย่างหลังก็ตาม กฎหมายการแจ้งเตือนการละเมิดข้อมูลในสหรัฐอเมริกาแตกต่างกันไปในแต่ละรัฐอย่างมาก และส่วนใหญ่ตั้งเกณฑ์ไว้ต่ำ: แจ้งบุคคลที่ได้รับผลกระทบ อธิบายประเภทของข้อมูลที่เปิดเผย และเสนอการตรวจสอบเครดิตบางรูปแบบ มีเพียงไม่กี่รัฐที่กำหนดให้ต้องอธิบายสาเหตุที่แท้จริง และการบังคับใช้แม้กระทั่งข้อกำหนดพื้นฐานเหล่านั้นก็ไม่สม่ำเสมอ

ผลลัพธ์คือระบบที่บริษัทต่างๆ ปฏิบัติตามตัวอักษรของกฎหมาย ในขณะที่ให้ผู้บริโภคแทบไม่มีอะไรที่สามารถใช้ปกป้องตัวเองหรือให้ใครรับผิดชอบได้

การละเมิดล่าสุดแสดงให้เห็นรูปแบบที่เกิดซ้ำ

นี่ไม่ใช่แนวโน้มที่เป็นนามธรรม มันปรากฏในการละเมิดครั้งแล้วครั้งเล่าที่เป็นข่าวพาดหัว การละเมิดข้อมูลของ Humana ที่ส่งผลกระทบต่อลูกค้าในหกรัฐ เกี่ยวข้องกับข้อมูลที่ละเอียดอ่อนที่สุดบางอย่างที่ผู้คนมี นั่นคือบันทึกสุขภาพ แต่รายละเอียดสาธารณะเกี่ยวกับวิธีการโจมตีนั้นมีจำกัด การละเมิดของ Novo Nordisk ซึ่งผู้โจมตีอ้างว่าได้ขโมยข้อมูลการทดลองทางคลินิก 1.3 เทราไบต์ ก็เช่นกันที่ทำให้เกิดคำถามมากมายเกี่ยวกับจุดบุกรุกที่ไม่มีคำตอบในแถลงการณ์สาธารณะ

รูปแบบนี้ขยายออกไปนอกเหนือจากการดูแลสุขภาพและเภสัชกรรม การละเมิดข้อมูลของ Odido เปิดเผยข้อมูล 6.2 ล้านระเบียนรวมถึงรายละเอียดบัญชีธนาคาร และแม้แต่ การละเมิดของเทศกาลภาพยนตร์ Tribeca ที่กระทบถึงผู้เข้าร่วมงานชื่อดัง ก็ดำเนินตามบทที่คุ้นเคย: ยืนยันว่าข้อมูลถูกเปิดเผย สร้างความมั่นใจว่าเรื่องนี้กำลังถูกสอบสวน และอื่นๆ เล็กน้อย ไม่ว่าจะข้ามอุตสาหกรรมและทวีปใด แผนการเปิดเผยข้อมูลก็ดูสอดคล้องกันอย่างน่าทึ่ง และบางเบาอย่างน่าทึ่ง

วิธีปกป้องตัวเองเมื่อรายละเอียดถูกปิดบัง

เนื่องจากโดยทั่วไปคุณไม่สามารถพึ่งพาบริษัทให้บอกคุณได้อย่างแน่ชัดว่าข้อมูลของคุณถูกเปิดเผยได้อย่างไร คำถามที่มีประโยชน์มากกว่าคือคุณควบคุมอะไรได้โดยไม่ต้องสนใจคำอธิบายที่คุณได้รับ

เริ่มจากสุขอนามัยของข้อมูลประจำตัว หากคุณใช้รหัสผ่านซ้ำในหลายไซต์ การละเมิดที่บริษัทหนึ่งจะกลายเป็นการละเมิดทุกที่ที่คุณใช้รหัสผ่านเดียวกันนั้น เครื่องมือจัดการรหัสผ่านที่สร้างข้อมูลประจำตัวที่ไม่ซ้ำกันสำหรับทุกบัญชีจะขจัดความเสี่ยงนี้แทบทั้งหมด จับคู่สิ่งนั้นกับการยืนยันตัวตนหลายปัจจัยทุกที่ที่มันถูกเสนอ เนื่องจากมันบล็อกความพยายามเข้ายึดบัญชีส่วนใหญ่แม้ว่ารหัสผ่านจะรั่วไหลก็ตาม

เฝ้าระวังบัญชีและเครดิตของคุณเชิงรุกแทนที่จะรอให้ประกาศมาถึง การแจ้งเตือนการละเมิดมักจะล่าช้ากว่าเหตุการณ์จริงหลายเดือน ดังนั้นกว่าคุณจะได้รับแจ้ง กิจกรรมที่ผิดปกติอาจเริ่มขึ้นแล้ว ธนาคารและสำนักงานข้อมูลเครดิตหลายแห่งเสนอการแจ้งเตือนฟรีสำหรับการเปิดบัญชีใหม่หรือค่าใช้จ่ายที่ผิดปกติ เปิดใช้มัน

จงสงสัยต่อภาษาการแจ้งเตือนที่คลุมเครือ หากจดหมายแจ้งว่า "การเข้าถึงโดยไม่ได้รับอนุญาต" โดยไม่มีรายละเอียดเฉพาะ ให้ถือว่านั่นเป็นสัญญาณให้หยุดเครดิตของคุณหรือตั้งการแจ้งเตือนการฉ้อโกง แทนที่จะเป็นเหตุผลให้ผ่อนคลาย และพึงพิจารณาว่าในขณะที่ ระบบ ID ดิจิทัลกำลังขยายตัว เดิมพันเกี่ยวกับสิ่งที่ถูกรวมศูนย์และการปกป้องมันดีเพียงใดนั้นมีแต่จะเพิ่มขึ้น ทำให้การเฝ้าระวังส่วนบุคคลยิ่งสำคัญมากขึ้นในอนาคต

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

บทเรียนหลักจากรายงานนี้คือความโปร่งใสในการแจ้งเตือนการละเมิดข้อมูลนั้นเป็นเพียงความทะเยอทะยานในตอนนี้ ไม่ใช่มาตรฐานที่เชื่อถือได้ บริษัทมีภาระผูกพันทางกฎหมายที่จะบอกคุณว่าการละเมิดเกิดขึ้น แต่ไม่ใช่ต้องบอกคุณว่าทำไมมันถึงเกิดขึ้นหรือจะป้องกันได้อย่างไร นั่นหมายความว่าความรับผิดชอบในการลดความเสี่ยงของคุณเองนั้นตกอยู่กับคุณอย่างไม่สมส่วน

นี่ไม่ใช่สาเหตุให้ตื่นตระหนก แต่มันเป็นสาเหตุให้ปรับเปลี่ยนทัศนคติ: ปฏิบัติต่อทุกบัญชีเสมือนว่ามันอาจเป็นเหยื่อการละเมิดในอนาคต ไม่ใช่แค่บัญชีที่ส่งประกาศให้คุณแล้ว ใช้รหัสผ่านที่ไม่ซ้ำกัน เปิดใช้การยืนยันตัวตนหลายปัจจัย เฝ้าระวังบัญชีการเงินของคุณเป็นประจำ และอย่ารอให้บริษัทเปิดเผยข้อมูลมาบอกคุณว่าถึงเวลาที่ต้องลงมือ

ข้อปฏิบัติที่นำไปใช้ได้จริง:

  • ตรวจสอบรหัสผ่านของคุณ และเปลี่ยนไปใช้เครื่องมือจัดการรหัสผ่านหากคุณใช้ข้อมูลประจำตัวซ้ำในหลายไซต์
  • เปิดใช้การยืนยันตัวตนหลายปัจจัยสำหรับอีเมล ธนาคาร และบัญชีใดๆ ที่มีข้อมูลละเอียดอ่อน
  • ตั้งค่าการแจ้งเตือนการตรวจสอบบัญชีและเครดิตฟรี แทนที่จะรอประกาศการละเมิด
  • ปฏิบัติต่อภาษาแจ้งเตือนที่คลุมเครือ ("การเข้าถึงโดยไม่ได้รับอนุญาต", "การโจมตีที่ซับซ้อน") ว่าเป็นสิ่งกระตุ้นให้หยุดเครดิต ไม่ใช่เหตุผลที่จะมองข้ามความเสี่ยง
  • ติดตามข่าวการละเมิดของบริษัทที่คุณใช้บริการ เพื่อให้คุณดำเนินการได้ก่อนที่ประกาศอย่างเป็นทางการจะมาถึงเสียอีก