דוא"ל ההתנצלות מגיע בדיחוי בכוונה

הנה המספר שצריך להעליב אותך: בדוח Verizon's 2024 Data Breach Investigations Report, תוקפים צריכים לעיתים קרובות רק דקות כדי לפרוץ לתיבת דוא"ל, אך המגנים לקחו חציון של 55 ימים רק כדי לתקן את החורים שמנוצלים. חמישים וחמישה ימים. כמעט שני חודשים של דלת פתוחה בזמן שהניירות משהים. וזה לפני שמישהו כותב את הדוא"ל שבסופו של דבר נוחת בתיבת שלך, מתחיל עם "אנחנו לוקחים את פרטיותך ברצינות."

הם לא. מה שהם לוקחים ברצינות הוא החוק.

רוב האנשים מניחים שהודעת הפרה פועלת על קצב כלשהו נמדד בשעות, כמו אזעקת אש. זה לא כך. חוק ההפרה של קליפורניה, Civil Code 1798.82—הסבא שרוב המדינות האחרות העתיקו ממנו—דורש הגילוי "בזמן המהיר ביותר האפשרי וללא עיכוב בלתי סביר." נשמע דחוף. ואז הוא חופר מקום עבור "הצרכים הלגיטימיים של הנדסת חוק" והזמן הדרוש "כדי לקבוע את ההיקף של ההפרה ולשחזר את היושרה הסבירה" של המערכת. תרגום: כל עוד אתה יכול להטען שעדיין חקרת, השעון לא באמת התחיל.

חוקים פדרליים אינם הרבה יותר חכמים מחוץ לענפים ספציפיים. הפרות רפואיות תחת HIPAA נותנות לגופים מכוסים עד 60 ימים. הכלל החדש של ה-SEC לחברות ציבוריות דורש גילוי תוך ארבעה ימי עסקים—אבל רק אחרי שהחברה מחליטה שהתקרית היא "חומרית," וההחלטה הזאת אין לה מועד קבוע. זה מועדים לכל הדרך למטה, וכל אחד מהם עוגן לשיקול דעת שהחברה שנפרצה מקבלת להכין.

אז העיכוב הוא לא אי-יכולת. זה ארכיטקטורה.

ההבדל השני הוא הביטוי שתראה בכמעט כל הודעה: "אין לנו עדויות לכך שהמידע שלך שימש לשימוש לרעה." קרא את זה לאט. זה לא הצהרה על האם הנתונים שלך בטוחים. זו הצהרה על מה החברה חיפשה ולא מצאה. אלה דברים שונים בעקביות. דפי דומה עם אישורים גנובים יכולים להישב בפורום למשך חודשים, להיקנות, להיבדקים כנגד תריסר אתרים אחרים, וליהקח חשבון שאין לו שום קשר לחברה שנפרצה—ולא שום פעילות שכזו מופיעה בתוך הרישומים שלהם. "אין עדויות לשימוש לרעה" הוא המקבילה של התאגיד ל"לא ראיתי אף אחד לוקח את זה," שמוצע על ידי האדם שהסתכל לצד השני.

עד שההודעה מגיעה, הדוא"ל והסיסמה שלך היו בעלי עונה מלאה בשוק הפתוח. credential-stuffing הוא אוטומטי וזול; הרשימות מחדשות נמכרות ומשלבות כל הזמן. מכתב ההפרה הוא מסמך היסטורי.

זו הסיבה שאתה צריך להתייחס לדוא"ל ההתנצלות כאל קבלה, לא כהתראה. המהלך המגן כבר קרה—או לא—שבועות קודם לכן. הדברים שבעצם עוזרים משעממים ולא ממתינים לאף מחלקת משפטים: סיסמה ייחודית לכל אתר כדי שדליפה אחת לא יכולה להיות דומינו, מנהל סיסמאות כדי שבעצם תעשה זאת, ואימות דו-גורמי באמצעות אפליקציה או מפתח חומרה במקום SMS. בדוק את הכתובת שלך כנגד Have I Been Pwned בכל פעם שאתה סקרן, לא כשחברה סוף סוף מקבלת מסביב לזה.

וכשההודעה כן נוחתת, התנגד לניטור האשראי החינם שהם נופפים כהצעת שלום. זה שנה אחת של צפייה בסוס שעזב את הדיר באביב. הנזק, אם יש הולך להיות, נוטה לרוץ בשעון מהיר יותר מזה שהעורכים קבעו. המכתב הוא רק כל הניירות של כולם סוף סוף מסכימים להיפגש.

הגידו אותו. שנה את הסיסמה. המשך הלאה. הם כבר עשו.