471 Milyon Bildirim, Az Açıklama: Raporun Bulguları

Yeni bir rapor, gizlilik savunucularının yıllardır uyardığı bir soruna çarpıcı bir sayı koydu: sadece altı ayda 471 milyondan fazla ihlal mağduru bildirimi gönderildi. Bu bir yazım hatası değil. Bu hız devam ederse yıllık yarım milyarı aşkın bildirime denk geliyor; nüfusun kavraması güç bir ölçeğine dokunuyor.

Ama hacim en rahatsız edici kısım bile değil. Rapora göre, bu bildirimlerin çoğu saldırganların sisteme nasıl girdiğini açıklamada başarısız oldu. Bir kimlik avı e-postası mı, yamasız bir sunucu mu, çalınmış bir kimlik bilgisi mi yoksa ele geçirilmiş bir üçüncü taraf tedarikçisi mi olduğundan hiç söz edilmedi. Yalnızca "yetkisiz erişim" olduğuna dair muğlak bir kabul ve ardından hesaplarınızı izlemeniz için standart tavsiyeler.

Veri ihlali bildirimi şeffaflığı sorununun özü budur. Çoğu yargı bölgesindeki yasalar, şirketlerin size bir ihlalin olduğunu ve hangi verilerin açığa çıktığını söylemesini zorunlu kılar. Çok azı, bunun nasıl olduğunu açıklamalarını gerektirir. Bu boşluk, tüketicilerin bir şirketin güvenlik uygulamalarının makul mü, ihmalkâr mı yoksa arada bir yerde mi olduğunu değerlendirmesini ve ileriye dönük kendi gerçek risklerini ölçmesini imkânsız bırakır.

Şirketler Saldırı Vektörleri Konusunda Neden Muğlak Kalıyor?

Şirketlerin ihlal bildirimlerini zayıf tutmasının pratik ve hukuki nedenleri vardır. Devam eden soruşturmalar, aktif davalar ve düzenleyici kurumlara maruz kalma riski, hukuk ekiplerine mümkün olduğunca az şey söyleme dürtüsü verir. Bir veritabanını şifrelemeden bıraktığını veya bilinen bir yazılım açığını görmezden geldiğini kabul eden bir şirket, davacı avukatlarına ve düzenleyicilere mühimmat teslim etmiş olur.

Bir de itibar hesabı var. Ayrıntılı teknik açıklamalar bir yetersizlik itirafı gibi görünebilirken, "sofistike saldırı" veya "yetkisiz üçüncü taraf" gibi muğlak ifadeler, gerçek bunun tam tersine daha yakın olsa bile, ihmalden çok kötü şans gibi duyulur. ABD'deki ihlal bildirim yasaları eyaletten eyalete önemli ölçüde değişir ve çoğu düşük bir çıta koyar: etkilenen bireyleri bilgilendir, açığa çıkan veri kategorilerini tarif et ve bir tür kredi izleme hizmeti sun. Çok azı kök neden açıklamasını zorunlu kılar ve bu temel gerekliliklerin uygulanması bile tutarsızdır.

Sonuç, şirketlerin yasanın lafzını yerine getirdiği, tüketicilere ise kendilerini korumak veya birilerini sorumlu tutmak için neredeyse hiçbir şey sunmadığı bir sistemdir.

Güncel İhlaller Tekrarlanan Deseni Gösteriyor

Bu soyut bir eğilim değil. Manşetlere çıkan ihlal üstüne ihlalde ortaya çıkıyor. Altı eyaletteki müşterileri etkileyen Humana veri ihlali, insanların sahip olduğu en hassas bilgilerden bazılarını – sağlık kayıtlarını – içeriyordu, ancak saldırı yöntemiyle ilgili kamuya açık ayrıntılar sınırlı kaldı. Saldırganların 1,3 terabayt klinik araştırma verisi çaldığını iddia ettiği Novo Nordisk ihlali de benzer şekilde kamuoyu açıklamalarında sızma noktasıyla ilgili birçok soruyu yanıtsız bıraktı.

Bu desen sağlık ve ilaç sektörünün ötesine uzanıyor. Banka hesap bilgileri dahil 6,2 milyon kaydı ifşa eden Odido veri ihlali ve ünlü katılımcıları etkileyen Tribeca Film Festivali ihlali bile tanıdık senaryoyu izledi: verilerin ifşa olduğunun teyidi, konunun araştırıldığına dair güvence ve pek az şey daha. Sektörler ve kıtalar boyunca, ifşa kılavuzu dikkat çekici derecede tutarlı ve dikkat çekici derecede zayıf görünüyor.

Ayrıntılar Saklandığında Kendinizi Nasıl Korursunuz?

Bir şirketin size verilerinizin tam olarak nasıl ifşa edildiğini söylemesine genellikle güvenemeyeceğiniz için, daha yararlı soru, açıklamadan bağımsız olarak neyi kontrol edebileceğinizdir.

Kimlik bilgisi hijyeni ile başlayın. Şifreleri siteler arasında yeniden kullanırsanız, bir şirketteki ihlal, aynı şifreyi kullandığınız her yerde bir ihlale dönüşür. Her hesap için benzersiz kimlik bilgileri üreten bir şifre yöneticisi, bu riski neredeyse tamamen ortadan kaldırır. Bunu, sunulduğu her yerde çok faktörlü kimlik doğrulama ile eşleştirin; çünkü bu, bir şifre sızsa bile çoğu hesap ele geçirme girişimini engeller.

Hesaplarınızı ve kredinizi, bir bildirimin gelmesini beklemek yerine proaktif olarak izleyin. İhlal bildirimleri genellikle asıl olaydan aylar sonra gelir; bu nedenle size söylendiğinde, olağandışı etkinlik çoktan başlamış olabilir. Birçok banka ve kredi bürosu yeni hesap açılışları veya olağandışı harcamalar için ücretsiz uyarılar sunar; bunları etkinleştirin.

Muğlak bildirim diline şüpheyle yaklaşın. Bir mektup ayrıntısız şekilde "yetkisiz erişim" diyorsa, bunu rahatlamak için bir neden olarak değil, kredinizi dondurmak veya dolandırıcılık uyarısı koymak için bir işaret olarak değerlendirin. Ve şunu göz önünde bulundurun ki, dijital kimlik sistemleri genişledikçe, nelerin merkezileştirildiği ve ne kadar iyi korunduğuyla ilgili riskler artacak ve bu da kişisel dikkati ileriye dönük daha da önemli hale getirecektir.

Bu Sizin İçin Ne Anlama Geliyor?

Bu rapordan çıkan temel ders, veri ihlali bildirimi şeffaflığının şu anda güvenilir bir standart olmaktan çok bir arzu olduğudur. Şirketler yasal olarak size bir ihlalin olduğunu söylemekle yükümlüdür, ancak neden olduğunu veya nasıl önlenebileceğini söylemekle değil. Bu, kendi maruziyetinizi azaltma sorumluluğunun orantısız şekilde size düştüğü anlamına gelir.

Bu panik sebebi değil. Zihniyet değişikliği için bir sebeptir: her hesaba, sadece size halihazırda bildirim göndermiş olanlara değil, gelecekteki potansiyel bir ihlal mağduru olarak davranın. Benzersiz şifreler kullanın, çok faktörlü kimlik doğrulamayı etkinleştirin, finansal hesaplarınızı düzenli olarak izleyin ve harekete geçme vaktinin geldiğini söylemek için bir kurumsal açıklamayı beklemeyin.

Uygulanabilir çıkarımlar:

  • Şifrelerinizi denetleyin ve kimlik bilgilerini siteler arasında yeniden kullanıyorsanız bir şifre yöneticisine geçin.
  • E-posta, bankacılık ve hassas veri içeren tüm hesaplar için çok faktörlü kimlik doğrulamayı açın.
  • Bir ihlal bildirimini beklemek yerine ücretsiz hesap ve kredi izleme uyarılarını kurun.
  • Muğlak ihlal dilini ("yetkisiz erişim", "sofistike saldırı"), riski göz ardı etmek için bir neden olarak değil, krediyi dondurmak için bir uyarı olarak değerlendirin.
  • Kullandığınız şirketlerle ilgili ihlal haberlerini takip edin, böylece resmi bir bildirim gelmeden önce olaylar hakkında harekete geçebilirsiniz.