بريد الاعتذار يأتي متأخراً عن قصد

إليك الرقم الذي يجب أن يزعجك: في تقرير 2024 لـ Verizon حول التحقيقات في الاختراقات الأمنية، يحتاج المهاجمون إلى بضع دقائق فقط لاختراق صندوق البريد، لكن المدافعين احتاجوا إلى وسيط 55 يوماً فقط لإصلاح الثغرات التي يتم استغلالها. خمسة وخمسون يوماً. ما يقرب من شهرين من الباب المفتوح بينما الأوراق تلحق بالركب. وهذا قبل أن يقوم أي شخص بصياغة البريد الإلكتروني الذي ينتهي به الحال في صندوقك، بدءاً بـ "نحن نعتبر خصوصيتك ذات أهمية قصوى."

إنهم لا يفعلون ذلك. ما يعتبرونه ذا أهمية قصوى هو النص القانوني.

يفترض معظم الناس أن إخطار الاختراق يعمل وفقاً لساعة تُقاس بالساعات، تماماً كما يعمل منبه الحريق. لكنه لا يعمل هكذا. قانون الاختراق في كاليفورنيا، القانون المدني 1798.82—الجد الأكبر الذي اعتمدت معظم الولايات الأخرى قوانينها عليه—يتطلب الإفصاح "في أسرع وقت ممكن وبدون تأخير غير معقول." يبدو الأمر عاجلاً. ثم يترك مجالاً لـ "الاحتياجات المشروعة لإنفاذ القانون" والوقت المطلوب "لتحديد نطاق الاختراق واستعادة سلامة معقولة" للنظام. الترجمة: طالما تستطيع التجادل بأنك كنت لا تزال تحقق، فالساعة لم تبدأ فعلاً.

القواعد الفيدرالية ليست أكثر إحكاماً خارج قطاعات محددة. الاختراقات الطبية بموجب HIPAA تعطي الجهات المكلفة مهلة تصل إلى 60 يوماً. تتطلب القاعدة الأحدث لـ SEC للشركات العامة الإفصاح في غضون أربعة أيام عمل—لكن فقط بعد أن تقرر الشركة أن الحادثة "ذات أهمية مالية"، وهذا التحديد نفسه لا يوجد له موعد نهائي محدد. إنها مواعيد نهائية في كل الاتجاهات، وكل واحدة منها مرتبطة بحكم تقديري تحصل عليه الشركة المخترقة.

إذاً التأخير ليس عدم كفاءة. إنه بناء هيكلي.

العلامة الثانية هي العبارة التي ستراها في كل ملاحظة تقريباً: "ليس لدينا أي دليل على أن معلوماتك قد تم استخدامها بشكل سيء." اقرأ ذلك ببطء. إنها ليست بيان حول ما إذا كانت بيانات العميل آمنة. إنها بيان حول ما بحثت عنه الشركة ولم تجده. هذان شيئان مختلفان تماماً. قد تجلس قائمة بيانات اعتماد مسروقة على منتدى لأشهر، ثم يتم شراؤها، واختبارها مقابل عشرات المواقع الأخرى، واستنزاف حساب لا علاقة له بالشركة المخترقة—وأي من هذا النشاط لا يظهر في سجلاتهم. "عدم وجود دليل على إساءة الاستخدام" هو المكافئ الشركاتي لـ "لم أر أي شخص يأخذه"، الذي يقوله الشخص الذي كان ينظر بعيداً.

بحلول الوقت الذي تصل فيه الملاحظة، كان بريدك الإلكتروني وكلمة المرور قد قضيا موسماً كاملاً في السوق المفتوحة. حشو بيانات الاعتماد مؤتمت وغير مكلف؛ يتم إعادة بيع القائمات ودمجها باستمرار. رسالة الاختراق هي وثيقة تاريخية.

وهذا هو السبب في أنه يجب عليك التعامل مع بريد الاعتذار كإيصال، وليس كتحذير. الخطوة الحماية قد حدثت بالفعل—أو لم تحدث—قبل أسابيع. الأشياء التي تساعد فعلاً ممله ولا تنتظر أحداً من قسم الشؤون القانونية: كلمة مرور فريدة لكل موقع حتى لا يؤدي تسريب واحد إلى انهيار متسلسل، ومدير كلمات مرور حتى تفعل ذلك فعلاً، والمصادقة الثنائية باستخدام تطبيق أو مفتاح أجهزة بدلاً من الرسائل النصية. تحقق من عنوانك الخاص مقابل Have I Been Pwned متى شعرت بالفضول، وليس عندما تأخذ الشركة في النهاية وقتاً لتخبرك.

وعندما تصل الملاحظة، تجنب المراقبة الائتمانية المجانية التي يلوحون بها كعرض سلام. إنها سنة واحدة من مراقبة حصان غادر الحظيرة في الربيع. الضرر، إن كان سيكون هناك ضرر، يميل إلى العمل وفقاً لساعة أسرع من الساعة التي وضعها المحامون. الرسالة هي مجرد كل شخص أوراقه أخيراً توافق على الالتقاء.

احفظها. غير كلمة المرور. تابع حياتك. هم بالفعل فعلوا ذلك.

@@END@@