Витік даних AfD, у результаті якого було опубліковано 421 000 електронних листів, дав громадськості незвичну можливість зазирнути всередину німецької політичної партії. За даними heise online, партія «Альтернатива для Німеччини», вочевидь, зазнала зламу, і близько 421 000 електронних листів було опубліковано. Заголовок репортажу також згадує незаконно скопійовані файли. Значна частина публікацій зосередиться на тому, що ці повідомлення розкривають про партію. Ця стаття обирає інший кут зору: що означає витік такого роду для звичайних людей, які з'являються в чужій поштовій скриньці.
Примітка щодо обсягу: вихідна стаття коротка, і багато деталей, як-от те, яким чином було отримано дані, хто їх опублікував і що саме містять електронні листи, не встановлено в наявних у нас матеріалах. Ми дотримуємося того, що було повідомлено, і пояснюємо загальні ризики, що випливають із будь-якого великого витоку електронної пошти.
Що було опубліковано у витоку електронної пошти AfD
Основні факти обмежені. Партія, вочевидь, зазнала витоку даних, і близько 421 000 електронних листів було оприлюднено. Heise описує матеріал як такий, що дає змогу зазирнути всередину партії. Слово «вочевидь» має значення: про злам було повідомлено, але читачам слід ставитися з обережністю до подальших тверджень, що циркулюють в інтернеті, доки партія, слідчі або надійні джерела їх не підтвердять.
Поштові архіви належать до найбільш викривальних видів витіканих даних. На відміну від бази даних імен користувачів, поштова скринька містить розмови у вільному тексті, вкладення, переслані документи, підписи з номерами телефонів і повні заголовки, що показують, хто кому писав і коли. Навіть якщо лише частка з 421 000 повідомлень містить чутливий матеріал, обсяг робить майже неможливим для будь-кого заздалегідь знати, що там є.
Хто наражається на ризик поза самою партією
Люди, які найімовірніше постраждають, — це не обов'язково керівники партії. Будь-хто, хто листувався з організацією, може з'явитися в архіві: члени, які надсилали заявки чи запитання, донори, відвідувачі заходів, журналісти, постачальники, місцеві посадовці та представники громадськості, які писали зі скаргами чи думками. Ніхто з них не контролював, як партія зберігала чи захищала свою пошту.
Це центральний урок організаційних зламів. Ваша вразливість залежить від практик безпеки кожної групи, з якою ви спілкуєтеся, а не лише від ваших власних. Людина, яка написала одне повідомлення політичній партії, тепер може мати своє ім'я, електронну адресу та будь-які деталі з цього повідомлення в публічному зливі.
У політичному контексті ставки можуть бути вищими, ніж у типовому комерційному витоку. Приналежність до партії може бути чутливою, а опубліковане листування може призвести до переслідувань, доксингу або цілеспрямованого фішингу. Шахраї також схильні використовувати витікані контактні дані для створення переконливих повідомлень, що посилаються на реальні розмови. Та сама схема вторинної шкоди з'являється в інших інцидентах, які ми висвітлювали, як-от витік даних Gyazo, що exposed 23,6 млн записів користувачів, де реальний ризик для окремих осіб походив від того, що інші могли зробити з витіканими даними згодом.
Обов'язки за GDPR для партії та права постраждалих осіб
Оскільки партія діє в Німеччині, відповідною правовою базою є Загальний регламент ЄС про захист даних. Згідно з GDPR, організація, яка зазнала витоку персональних даних, зазвичай повинна повідомити компетентний наглядовий орган без невиправданої затримки, і, де це можливо, протягом 72 годин після того, як дізналася про це, якщо тільки витік не становить малоймовірного ризику для людей. Якщо ризик для окремих осіб є високим, організація також повинна безпосередньо повідомити постраждалих. Політичні погляди вважаються особливою категорією персональних даних за цим регламентом, що підвищує рівень захисту та нагляду.
Ми не маємо підтвердження з вихідної статті про те, чи було зроблено повідомлення, тому не можемо сказати, чи виконала партія ці зобов'язання. Що ми можемо описати, так це права, які мають люди:
- Право на доступ: ви можете запитати в організації, чи зберігає вона ваші персональні дані, і запросити копію.
- Право на стирання: у багатьох обставинах ви можете попросити видалити ваші дані.
- Право на скаргу: ви можете подати скаргу до органу захисту даних, якщо вважаєте, що з вашими даними поводилися неналежним чином.
- Право на компенсацію: GDPR дозволяє особам вимагати відшкодування матеріальної або нематеріальної шкоди, завданої порушеннями.
Якщо ви колись контактували з партією, надсилання запиту на доступ є розумним способом дізнатися, що вони зберігають про вас.
Що це означає для вас
Вам не потрібно бути членом партії, щоб бути зачепленим таким витоком. Якщо ви писали, робили пожертви або реєструвалися в будь-якій організації, яка зазнала зламу, припускайте, що деталі з тих повідомлень тепер можуть бути публічними. Практичні ризики — це фішинг, імітація та небажана увага, а не негайне захоплення акаунтів, якщо тільки пароль або посилання для входу не було надіслано електронною поштою.
Останній пункт заслуговує на увагу. Старі електронні листи часто містять посилання для скидання пароля, спільні облікові дані або номери рахунків. Якщо ви колись надсилали або отримували такі деталі в листуванні з постраждалою організацією, вважайте їх скомпрометованими. Великі зливи внутрішніх даних, як-от описаний у нашому звіті про 12-терабайтний Teraleak Valve, показують, як давно забутий матеріал може знову спливти через роки.
Як захистити себе після організаційного зламу
Ви не можете виправити чужу безпеку, але можете обмежити шкоду зі свого боку:
- Перевірте бази даних витоків. Знайдіть свою електронну адресу в надійному сервісі сповіщень про витоки, щоб побачити, чи вона з'являється у відомих зливах.
- Використовуйте унікальні паролі. Менеджер паролів дозволяє дати кожному акаунту власний пароль, щоб один витік не міг відкрити інші.
- Увімкніть двофакторну автентифікацію. Надавайте перевагу застосунку-автентифікатору або апаратному ключу над SMS, де це можливо.
- Ставтеся скептично до повідомлень, що посилаються на минулі контакти. Зловмисники можуть цитувати реальні деталі з витіканих електронних листів. Перевіряйте через канал, якому ви вже довіряєте, перш ніж натискати або відповідати.
- Розгляньте псевдонім електронної пошти. Використання окремих адрес для різних організацій обмежує те, що один витік розкриває про вас.
- Скористайтеся своїми правами за GDPR. Запитайте, які дані зберігає організація, і вимагайте видалення, де це доречно.
VPN не допомагає проти зламу чужого поштового сервера, оскільки розкриття відбувається в організації. Він залишається корисним для захисту вашого власного трафіку, але це не remedy в цьому випадку. Розкриття особистих медіа та ідентифікаційних даних, як-от у витоку ClarityCheck, що exposed 9 мільйонів зображень облич, є нагадуванням, що ваш найкращий захист — це мінімізувати те, чим ви ділитеся, і захищати те, що ви не можете повернути.
Ключові висновки
Витік даних AfD, у результаті якого було опубліковано 421 000 електронних листів, є нагадуванням, що ваша приватність пов'язана зі звичками кожної організації, якій ви пишете. Перевірте, чи ваша адреса з'являється у зливах витоків, перейдіть на унікальні паролі з двофакторною автентифікацією на кожному важливому акаунті та стежте за повідомленнями, які, здається, знають про вас занадто багато. Щоб побачити, як ці кроки працюють на практиці, прочитайте наш матеріал про витік Gyazo та інші нещодавні розкриття, і заходьте знову, коли з'являться більше підтверджених деталей про цей витік.
