Email s omluvu přichází záměrně pozdě

Tady je číslo, které by vás mělo naštvat: v Zprávě o vyšetřování porušení dat (Data Breach Investigations Report) společnosti Verizon z roku 2024 si útočníci chtějí na prolomení přístupové schránky často pouze minut, ale obránci trvalo medián 55 dnů, aby jen záplatu mezery, kterou zneužívají. Padesát pět dnů. Skoro dva měsíce otevřených dveří, zatímco papírování selhává. A to ještě před tím, než někdo napíše email, který se nakonec dostane do vaší schránky a začíná slovy „Bereme ochranu vašeho soukromí vážně."

Berou vážně jen zákon.

Většina lidí předpokládá, že oznámení o porušení běží podle nějaké lhůty měřené v hodinách, jako by se jednalo o požární alarm. Nestane se. Kalifornský zákon o porušení, Civil Code 1798.82 — ten největší, podle kterého si modelovaly své zákony většina ostatních států — vyžaduje oznámení „v nejrychlejší možné době a bez zbytečného průtahu." Zní to naléhavě. Pak si ale vyhrazuje prostor pro „oprávněné potřeby orgánů činných v trestním řízení" a čas potřebný „k určení rozsahu porušení a obnovení přiměřené integrity" systému. Překlad: tak dlouho, jak můžete tvrdit, že jste stále vyšetřovali, hodiny se vlastně nespustily.

Federální pravidla nejsou jinde příliš ostrá mimo určitá odvětví. Medické porušení podle HIPAA dává subjektům obavy až 60 dnů. Novější pravidlo SEC pro veřejné společnosti vyžaduje zveřejnění během čtyř obchodních dnů — ale pouze poté, co se společnost rozhodne, že je incident „významný" (material), a toto určení nemá pevnou lhůtu. Jsou to lhůty všude a každá z nich je ukotvena v rozhodování, které si může udělat porušená společnost.

Takže zpoždění není neschopnost. Jsou to architektura.

Druhý signál je fráze, kterou uvidíte v téměř každém oznámení: „nemáme žádný důkaz, že by se vaše informace zneužívaly." Čtěte to pomalu. Nejde o prohlášení o tom, zda jsou vaše data bezpečná. Je to prohlášení o tom, co společnost hledala a nenašla. To jsou naprosto jiné věci. Ukradená sbírka přihlašovacích údajů si může měsíce ležet na fóru, může být koupena, testována proti desítce jiných webů a vypusťovat účet, který nemá nic společného s porušenou společností — a žádná z těchto aktivit se nezobrazuje v jejich záznamech. „Žádný důkaz zneužití" je firemní ekvivalent „neviděl jsem, aby to někdo vzal," řečeno osobou, která se dívala jinam.

V okamžiku, kdy se zpráva dorazí, váš email a heslo už měly plnou sezonu na volném trhu. Vyplňování přihlašovacích údajů (credential-stuffing) je automatizované a levné; seznamy se stále znovu prodávají a kombinují. Dopis o porušení je historický dokument.

Proto byste měli považovat email s omluvou za účtenku, nikoli za varování. Ochranné opatření se už nebo vůbec nestalo — týdny předtím. Věci, které skutečně pomohou, jsou nudné a nečekají na nikoho právního oddělení: jedinečné heslo pro každý web, aby jeden únik nezpůsobil řetězovou reakci, správce hesel, abyste to skutečně udělali, a dvoustupňové ověření pomocí aplikace nebo hardwarového klíče místo SMS. Kontrolujte svou adresu v Have I Been Pwned kdykoliv vám to přijde zvláštní, ne když se společnost konečně rozhodne vám něco říci.

A když se zpráva dorazí, vyhněte se bezplatnému monitorování kreditu, který vám nabízejí jako důkaz míru. Je to rok sledování koně, který opustil chlév na jaře. Škoda, pokud bude nějaká, má tendenci běžet na rychlejších hodinách než ty, které nastavili právníci. Dopis je jen všem papírům, která se konečně podařilo sejít.

Uložte si ho. Změňte heslo. Pokračujte dál. Oni už udělali totéž.