Το Email Συγγνώμης Έρχεται Σκόπιμα Αργά

Ορίστε ο αριθμός που θα σας ενοχλήσει: στην Έκθεση Διερεύνησης Παραβιάσεων Δεδομένων 2024 της Verizon, οι επιτιθέμενοι συχνά χρειάζονται μόνο λεπτά για να σπάσουν ένα inbox, αλλά οι υπεύθυνοι άμυνας χρειάστηκαν μεσαία τιμή 55 ημερών μόνο για να διορθώσουν τις τρύπες που εκμεταλλεύονταν. Πενήντα πέντε ημέρες. Σχεδόν δύο μήνες με ανοιχτή πόρτα ενώ το χαρτιάδικο πιάνει εξής. Και αυτό προτού κανείς γράψει το email που τελικά φτάνει στο δικό σας inbox, που αρχίζει με «Λαμβάνουμε την ιδιωτικότητά σας στα σοβαρά».

Δεν την λαμβάνουν. Αυτό που λαμβάνουν στα σοβαρά είναι το νόμο.

Οι περισσότεροι άνθρωποι υποθέτουν ότι η ειδοποίηση παραβίασης λειτουργεί σε κάποιο ρολόι που μετράται σε ώρες, όπως ένας συναγερμός πυρκαγιάς. Δεν λειτουργεί. Ο νόμος περί παραβιάσεων της Καλιφόρνιας, Civil Code 1798.82—ο παππούς που τις περισσότερες άλλες πολιτείες μοντελοποίησαν δικούς τους νόμους—απαιτεί γνωστοποίηση «στον πιο σύντομο δυνατό χρόνο και χωρίς λογικής καθυστέρησης». Φαίνεται επείγον. Στη συνέχεια δημιουργεί χώρο για «τις νόμιμες ανάγκες της εσ.α.» και το χρόνο που χρειάζεται «για να καθοριστεί το εύρος της παραβίασης και να αποκατασταθεί η λογική ακεραιότητα» του συστήματος. Μετάφραση: όσο χρόνο μπορείτε να υποστηρίξετε ότι εξακολουθούσατε να ερευνάτε, το ρολόι δεν έχει πραγματικά αρχίσει.

Οι ομοσπονδιακοί κανόνες δεν είναι πολύ σφιχτότεροι έξω από συγκεκριμένους τομείς. Οι παραβιάσεις ιατρικών δεδομένων σύμφωνα με το HIPAA δίνουν στις καλυπτόμενες οντότητες έως 60 ημέρες. Ο νεότερος κανόνας της SEC για δημόσιες εταιρείες απαιτεί γνωστοποίηση εντός τεσσάρων εργάσιμων ημερών—αλλά μόνο αφού η εταιρεία αποφασίσει ότι το περιστατικό είναι «ουσιαστικό», και αυτή η απόφαση δεν έχει σκληρό χρονικό όριο. Είναι προθεσμίες όλη τη διαδρομή, και κάθε μία από αυτές έχει εδράσει σε ένα κρίμα που κάνει η εταιρεία που παραβιάστηκε.

Επομένως η καθυστέρηση δεν είναι ανικανότητα. Είναι αρχιτεκτονική.

Η δεύτερη ένδειξη είναι η φράση που θα δείτε σχεδόν σε κάθε ειδοποίηση: «δεν έχουμε αποδείξεις ότι τα δεδομένα σας έχουν κακοχρησιμοποιηθεί». Διαβάστε αυτό αργά. Δεν είναι δήλωση για το εάν τα δεδομένα σας είναι ασφαλή. Είναι δήλωση για το τι ψάχτηκε η εταιρεία και δεν βρήκε. Αυτά είναι εντελώς διαφορετικά πράγματα. Ένα κλεμμένο dump διαπιστευτηρίων μπορεί να παραμείνει σε ένα φόρουμ για μήνες, να αγοραστεί, να δοκιμαστεί σε μια δωδεκάδα άλλων ιστοτόπων, και να εκκενώσει ένα λογαριασμό που δεν έχει σχέση με την εταιρεία που παραβιάστηκε—και καμία από αυτή τη δραστηριότητα δεν εμφανίζεται στα δικά τους αρχεία καταγραφής. «Δεν υπάρχει απόδειξη κακοχρησίας» είναι το εταιρικό ισοδύναμο του «δεν είδα κανέναν να το παίρνει», που προσφέρεται από το άτομο που κοιτούσε προς την άλλη κατεύθυνση.

Μέχρι να φτάσει η ειδοποίηση, το email και ο κωδικός πρόσβασής σας έχουν είχαν πλήρη σεζόν στην ανοιχτή αγορά. Το credential-stuffing είναι αυτοματοποιημένο και φθηνό· οι λίστες επαναπωλούνται και συνδυάζονται συνεχώς. Το γράμμα παραβίασης είναι ιστορικό έγγραφο.

Γι' αυτό θα πρέπει να αντιμετωπίσετε το email συγγνώμης ως ένα εισιτήριο, όχι ως προειδοποίηση. Η προστατευτική κίνηση συνέβη ήδη—ή δεν συνέβη—εβδομάδες νωρίτερα. Τα πράγματα που πραγματικά βοηθούν είναι βαρετά και δεν περιμένουν κανέναν νομικό τμήμα: ένας μοναδικός κωδικός πρόσβασης ανά ιστότοπο ώστε μία διαρροή να μην μπορεί να δημιουργήσει σύνδεσμο, ένας διαχειριστής κωδικών πρόσβασης ώστε να το κάνετε πραγματικά, και αутентификationsδύο παραγόντων χρησιμοποιώντας μια εφαρμογή ή ένα υλικό κλειδί αντί του SMS. Ελέγξτε την δική σας διεύθυνση έναντι του Have I Been Pwned όποτε είστε περίεργοι, όχι όταν μια εταιρεία τελικά έχει χρόνο να σας το πει.

Και όταν η ειδοποίηση φτάσει, αντισταθείτε στην δωρεάν παρακολούθηση πίστωσης που μας δείχνουν ως προσφορά ειρήνης. Είναι ένα χρόνο παρακολούθησης ενός αλόγου που έφυγε από τη σιταποθήκη την άνοιξη. Η ζημία, αν πρόκειται να υπάρξει κάποια, τείνει να λειτουργεί σε ένα πιο γρήγορο ρολόι από αυτό που ρύθμισαν οι δικηγόροι. Το γράμμα είναι απλώς το χαρτιάδικο όλων που συμφωνούν τέλος πάντων να συναντηθούν.

Αρχειοθετήστε το. Αλλάξτε το σας κωδικό πρόσβασης. Συνεχίστε. Έχουν ήδη το κάνει.