L'email d'excuses arrive volontairement en retard

Voici le chiffre qui devrait vous irriter : dans le Verizon 2024 Data Breach Investigations Report, les attaquants n'ont souvent besoin que de minutes pour forcer l'accès à une boîte mail, mais les défenseurs ont mis une médiane de 55 jours juste pour corriger les failles exploitées. Cinquante-cinq jours. Près de deux mois de porte ouverte pendant que la paperasse rattrape son retard. Et c'est avant que quiconque rédige l'email qui finit par débarquer dans votre boîte de réception, commençant par « Nous prenons votre confidentialité au sérieux ».

Ce n'est pas vrai. Ce qu'ils prennent au sérieux, c'est la loi.

La plupart des gens supposent que la notification de violation fonctionne selon une horloge mesurée en heures, comme une alarme incendie. Ce n'est pas le cas. La loi californienne sur les violations, le Civil Code 1798.82—l'ancêtre que la plupart des autres États ont modelé sur la leur—exige une divulgation « dans les plus brefs délais possibles et sans retard déraisonnable ». Ça semble urgent. Puis elle ménage une place pour « les besoins légitimes de l'application de la loi » et le temps nécessaire « pour déterminer l'ampleur de la violation et rétablir l'intégrité raisonnable » du système. Traduction : tant que vous pouvez argumenter que vous enquêtiez toujours, l'horloge n'a pas vraiment commencé.

Les règles fédérales ne sont pas beaucoup plus strictes en dehors de secteurs spécifiques. Les violations médicales en vertu de la HIPAA accordent aux entités couvertes jusqu'à 60 jours. La nouvelle règle de la SEC pour les sociétés cotées en bourse exige une divulgation dans les quatre jours ouvrables—mais seulement après que l'entreprise décide que l'incident est « matériel », et cette détermination n'a pas de délai ferme non plus. Ce sont des délais partout, et chacun d'eux est ancré à un jugement que l'entreprise en cause peut faire.

Donc le retard n'est pas une incompétence. C'est une architecture.

Le second indice est la phrase que vous verrez dans pratiquement chaque avis : « nous n'avons aucune preuve que vos informations ont été utilisées à mauvais escient ». Lisez cela lentement. Ce n'est pas une affirmation sur le fait que vos données sont sûres. C'est une affirmation sur ce que l'entreprise a cherché et n'a pas trouvé. Ce sont des choses très différentes. Un dump d'identifiants volés peut rester sur un forum pendant des mois, être acheté, être testé contre une douzaine d'autres sites, et vider un compte qui n'a rien à voir avec l'entreprise en cause—et aucune de cette activité n'apparaît dans leurs journaux. « Aucune preuve de mauvaise utilisation » est l'équivalent corporatif de « Je n'ai vu personne la prendre », proféré par la personne qui regardait ailleurs.

Au moment où l'avis arrive, votre email et mot de passe ont eu une pleine saison sur le marché libre. Le credential-stuffing est automatisé et bon marché ; les listes sont constamment revendues et recombinées. La lettre de violation est un document historique.

C'est pourquoi vous devriez traiter l'email d'excuses comme un reçu, pas comme un avertissement. Le geste protecteur a déjà eu lieu—ou n'a pas eu lieu—des semaines plus tôt. Les choses qui aident vraiment sont ennuyeuses et n'attendent personne du service juridique : un mot de passe unique par site pour qu'une fuite ne crée pas d'effet domino, un gestionnaire de mots de passe pour que vous le fassiez vraiment, et une authentification à deux facteurs utilisant une application ou une clé matérielle au lieu d'SMS. Vérifiez votre adresse contre Have I Been Pwned quand vous êtes curieux, pas quand une entreprise finit par vous le dire.

Et quand l'avis arrive, résistez à la surveillance de crédit gratuite qu'ils danglent comme un geste de paix. C'est un an à regarder un cheval qui a quitté l'écurie au printemps. Les dégâts, s'il y en a, ont tendance à fonctionner selon une horloge plus rapide que celle que les avocats ont fixée. La lettre est juste que la paperasse de tout le monde finit par s'accorder.

Classez-la. Changez le mot de passe. Passez à autre chose. Ils l'ont déjà fait.