การรั่วไหลของข้อมูล AfD ซึ่งมีอีเมล 421,000 ฉบับได้เปิดมุมมองที่ผิดปกติให้สาธารณชนได้เห็นภายในพรรคการเมืองเยอรมัน ตามรายงานของ heise online พรรค "Alternative for Germany" ดูเหมือนจะตกเป็นเหยื่อของการรั่วไหลของข้อมูล และอีเมลประมาณ 421,000 ฉบับถูกเผยแพร่ พาดหัวข่าวของรายงานยังกล่าวถึงไฟล์ที่ถูกคัดลอกอย่างผิดกฎหมาย สื่อส่วนใหญ่จะมุ่งเน้นไปที่สิ่งที่ข้อความเหล่านั้นเปิดเผยเกี่ยวกับพรรค บทความนี้ใช้มุมมองที่แตกต่าง: การรั่วไหลในลักษณะนี้หมายความว่าอย่างไรสำหรับคนธรรมดาที่ปรากฏอยู่ในกล่องจดหมายของคนอื่น
หมายเหตุเกี่ยวกับขอบเขต: บทความต้นฉบับนั้นสั้น และรายละเอียดหลายอย่าง เช่น ข้อมูลถูกนำไปอย่างไร ใครเป็นผู้เผยแพร่ และอีเมลมีเนื้อหาอะไรบ้างอย่างแน่ชัด ยังไม่ได้รับการยืนยันในเนื้อหาที่เรามี เรายึดตามสิ่งที่ได้รับการรายงานและอธิบายความเสี่ยงทั่วไปที่ตามมาจากการรั่วไหลของอีเมลขนาดใหญ่ใดๆ
สิ่งที่ถูกเผยแพร่ในการรั่วไหลของอีเมล AfD
ข้อเท็จจริงหลักมีจำกัด พรรคดูเหมือนจะตกเป็นเหยื่อของการรั่วไหลของข้อมูล และอีเมลประมาณ 421,000 ฉบับถูกเปิดเผยต่อสาธารณะ Heise อธิบายว่าเนื้อหานั้นให้ glimpses ภายในพรรค คำว่า "ดูเหมือนจะ" มีความสำคัญ: การรั่วไหลได้รับการรายงานแล้ว แต่ผู้อ่านควรปฏิบัติต่อข้อกล่าวอ้างเพิ่มเติมที่แพร่กระจายทางออนไลน์ด้วยความระมัดระวังจนกว่าพรรค นักสืบ หรือสื่อที่เชื่อถือได้จะยืนยัน
คลังอีเมลเป็นหนึ่งในประเภทข้อมูลที่รั่วไหลซึ่งเปิดเผยมากที่สุด แตกต่างจากฐานข้อมูลชื่อผู้ใช้ กล่องจดหมายเก็บบทสนทนาแบบข้อความอิสระ ไฟล์แนบ เอกสารที่ส่งต่อ ลายเซ็นที่มีหมายเลขโทรศัพท์ และส่วนหัวแบบเต็มที่แสดงว่าใครเขียนถึงใครและเมื่อใด แม้ว่าเพียงเศษเสี้ยวของข้อความ 421,000 ฉบับจะมีเนื้อหาที่ละเอียดอ่อน ปริมาณก็ทำให้ยากที่ใครจะรู้ล่วงหน้าว่ามีอะไรอยู่ในนั้น
ใครบ้างที่ได้รับผลกระทบนอกเหนือจากพรรคเอง
ผู้ที่มีแนวโน้มได้รับผลกระทบมากที่สุดไม่จำเป็นต้องเป็นผู้นำของพรรค ใครก็ตามที่ติดต่อกับองค์กรอาจปรากฏในคลังข้อมูล: สมาชิกที่ส่งใบสมัครหรือคำถาม ผู้บริจาค ผู้เข้าร่วมกิจกรรม นักข่าว ซัพพลายเออร์ เจ้าหน้าที่ท้องถิ่น และสมาชิกของสาธารณชนที่เขียนเข้ามาพร้อมข้อร้องเรียนหรือความคิดเห็น ไม่มีใครในพวกเขาควบคุมวิธีที่พรรคจัดเก็บหรือปกป้องอีเมลของตน
นั่นคือบทเรียนสำคัญจากการรั่วไหลของข้อมูลในองค์กร การเปิดเผยของคุณขึ้นอยู่กับแนวปฏิบัติด้านความปลอดภัยของทุกกลุ่มที่คุณสื่อสารด้วย ไม่ใช่แค่ของคุณเอง คนที่เขียนข้อความเพียงฉบับเดียวถึงพรรคการเมืองอาจมีชื่อ ที่อยู่อีเมล และรายละเอียดใดๆ ในข้อความนั้นอยู่ในกองข้อมูลสาธารณะแล้ว
ในบริบททางการเมือง ความเสี่ยงอาจสูงกว่าในการรั่วไหลเชิงพาณิชย์ทั่วไป การเชื่อมโยงกับพรรคอาจละเอียดอ่อน และจดหมายที่ถูกเผยแพร่อาจนำไปสู่การล่วงละเมิด การเปิดเผยข้อมูลส่วนตัว หรือฟิชชิ่งแบบเจาะจง นักต้มตุ๋นยังมักใช้ข้อมูลติดต่อที่รั่วไหลเพื่อสร้างข้อความที่น่าเชื่อถือซึ่งอ้างถึงบทสนทนาจริง รูปแบบเดียวกันของอันตรายทุติยภูมิปรากฏในเหตุการณ์อื่นๆ ที่เราเคยรายงาน เช่น การรั่วไหลของข้อมูล Gyazo ที่เปิดเผยบันทึกผู้ใช้ 23.6 ล้านรายการ ซึ่งความเสี่ยงจริงต่อบุคคลมาจากสิ่งที่ผู้อื่นสามารถทำกับข้อมูลที่รั่วไหล afterward
หน้าที่ตาม GDPR สำหรับพรรคและสิทธิสำหรับผู้ที่ได้รับผลกระทบ
เนื่องจากพรรคดำเนินงานในเยอรมนี กฎการคุ้มครองข้อมูลทั่วไปของสหภาพยุโรป (GDPR) จึงเป็นกรอบที่เกี่ยวข้อง ภายใต้ GDPR องค์กรที่ประสบการรั่วไหลของข้อมูลส่วนบุคคลโดยทั่วไปต้องแจ้งหน่วยงานกำกับดูแลที่มีอำนาจโดยไม่ชักช้า และгдеเป็นไปได้ภายใน 72 ชั่วโมงนับจากที่ทราบ เว้นแต่การรั่วไหลไม่น่าจะก่อความเสี่ยงต่อบุคคล หากความเสี่ยงต่อบุคคลสูง องค์กรยังต้องแจ้งผู้ที่ได้รับผลกระทบโดยตรง ความคิดเห็นทางการเมืองถือเป็นประเภทพิเศษของข้อมูลส่วนบุคคลภายใต้กฎระเบียบ ซึ่งเพิ่มระดับการคุ้มครองและการตรวจสอบ
เราไม่มีการยืนยันจากบทความต้นฉบับว่ามีการแจ้งเตือนแล้วหรือไม่ ดังนั้นเราจึงไม่สามารถกล่าวได้ว่าพรรคได้ปฏิบัติตามข้อผูกพันเหล่านี้หรือไม่ สิ่งที่เราสามารถอธิบายได้คือสิทธิที่บุคคลมี:
- สิทธิในการเข้าถึง: คุณสามารถถามองค์กรว่าถือข้อมูลส่วนบุคคลของคุณหรือไม่และขอสำเนา
- สิทธิในการลบ: ในหลายสถานการณ์คุณสามารถขอให้ลบข้อมูลของคุณ
- สิทธิในการร้องเรียน: คุณสามารถยื่นเรื่องร้องเรียนต่อหน่วยงานคุ้มครองข้อมูลหากคุณเชื่อว่าข้อมูลของคุณถูกจัดการอย่างไม่เหมาะสม
- สิทธิในการชดเชย: GDPR อนุญาตให้บุคคลเรียกร้องค่าเสียหายสำหรับความเสียหายทั้งทางวัตถุและไม่ใช่วัตถุที่เกิดจากการละเมิด
หากคุณเคยติดต่อกับพรรค การส่งคำขอเข้าถึงข้อมูลเป็นวิธีที่สมเหตุสมผลในการค้นหาว่าพวกเขาถือข้อมูลอะไรเกี่ยวกับคุณ
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
คุณไม่จำเป็นต้องเป็นสมาชิกพรรคเพื่อได้รับผลกระทบจากการรั่วไหลเช่นนี้ หากคุณเคยเขียนถึง บริจาคให้ หรือลงทะเบียนกับองค์กรใดๆ ที่ถูกละเมิด ให้ถือว่ารายละเอียดในข้อความเหล่านั้นอาจเป็นสาธารณะแล้ว ความเสี่ยงในทางปฏิบัติคือฟิชชิ่ง การแอบอ้าง และความสนใจที่ไม่พึงประสงค์ มากกว่าการถูกยึดบัญชีทันที เว้นแต่รหัสผ่านหรือลิงก์เข้าสู่ระบบถูกส่งทางอีเมล
ประเด็นสุดท้ายนั้นสมควรได้รับความสนใจ อีเมลเก่ามักมีลิงก์รีเซ็ตรหัสผ่าน ข้อมูลรับรองที่ใช้ร่วมกัน หรือหมายเลขบัญชี หากคุณเคยส่งหรือได้รับรายละเอียดดังกล่าวในการติดต่อกับองค์กรที่ได้รับผลกระทบ ให้ถือว่าถูกบุกรุกแล้ว การทิ้งข้อมูลภายในขนาดใหญ่ เช่นที่อธิบายไว้ในรายงานของเราเกี่ยวกับ Teraleak 12TB ของ Valve แสดงให้เห็นว่าข้อมูลที่ถูกลืมไปนานแล้วสามารถกลับมาปรากฏได้อีกหลายปีต่อมา
วิธีปกป้องตัวเองหลังการรั่วไหลของข้อมูลในองค์กร
คุณไม่สามารถแก้ไขความปลอดภัยของคนอื่นได้ แต่คุณสามารถจำกัดความเสียหายในฝั่งของคุณ:
- ตรวจสอบฐานข้อมูลการรั่วไหล ค้นหาที่อยู่อีเมลของคุณในบริการแจ้งเตือนการรั่วไหลที่เชื่อถือได้เพื่อดูว่าปรากฏในกองข้อมูลที่รู้จักหรือไม่
- ใช้รหัสผ่านที่ไม่ซ้ำกัน ตัวจัดการรหัสผ่านช่วยให้คุณกำหนดรหัสผ่านของตัวเองให้ทุกบัญชี ดังนั้นการรั่วไหลครั้งเดียวจึงไม่สามารถปลดล็อกบัญชีอื่นได้
- เปิดใช้การยืนยันตัวตนสองขั้นตอน เลือกใช้แอปยืนยันตัวตนหรือฮาร์ดแวร์คีย์แทน SMS เมื่อเป็นไปได้
- ระแวงข้อความที่อ้างถึงการติดต่อในอดีต ผู้โจมตีอาจอ้างรายละเอียดจริงจากอีเมลที่รั่วไหล ตรวจสอบผ่านช่องทางที่คุณเชื่อถืออยู่แล้วก่อนคลิกหรือตอบกลับ
- พิจารณาใช้นามแฝงอีเมล การใช้ที่อยู่แยกกันสำหรับองค์กรต่างๆ ช่วยจำกัดสิ่งที่การรั่วไหลครั้งเดียวเปิดเผยเกี่ยวกับคุณ
- ใช้สิทธิ GDPR ของคุณ ถามว่าองค์กรถือข้อมูลอะไรและขอให้ลบเมื่อเหมาะสม
VPN ไม่ช่วยป้องกันการรั่วไหลของเมลเซิร์ฟเวอร์ของคนอื่น เนื่องจากการเปิดเผยเกิดขึ้นที่องค์กร VPN ยังมีประโยชน์ในการปกป้องทราฟฟิกของคุณเอง แต่ไม่ใช่ remediation ที่นี่ การเปิดเผยสื่อส่วนบุคคลและข้อมูลระบุตัวตน เช่นในการrั่วไหลของ ClarityCheck ที่มีภาพใบหน้า 9 ล้านภาพ เป็นเครื่องเตือนใจว่าการป้องกันที่ดีที่สุดของคุณคือการลดสิ่งที่คุณแชร์และรักษาความปลอดภัยในสิ่งที่คุณไม่สามารถเรียกคืนได้
ประเด็นสำคัญ
การรั่วไหลของข้อมูล AfD ซึ่งมีอีเมล 421,000 ฉบับเป็นเครื่องเตือนใจว่าความเป็นส่วนตัวของคุณผูกพันกับนิสัยของทุกองค์กรที่คุณเขียนถึง ตรวจสอบว่าที่อยู่ของคุณปรากฏในกองข้อมูลที่รั่วไหลหรือไม่ เปลี่ยนไปใช้รหัสผ่านที่ไม่ซ้ำกันพร้อมการยืนยันตัวตนสองขั้นตอนในทุกบัญชีสำคัญ และระวังข้อความที่ดูเหมือนรู้เกี่ยวกับคุณมากเกินไป หากต้องการดูว่าขั้นตอนเหล่านี้ทำงานอย่างไรในทางปฏิบัติ อ่านรายงานของเราเกี่ยวกับการรั่วไหลของ Gyazoและการเปิดเผยอื่นๆ ที่เกิดขึ้นล่าสุด และกลับมาตรวจสอบเมื่อมีรายละเอียดที่ยืนยันแล้วเกี่ยวกับการรั่วไหลนี้เพิ่มเติม
