माफी का ईमेल इरादे से देर से आता है

यह वह संख्या है जो आपको परेशान करनी चाहिए: Verizon की 2024 Data Breach Investigations Report में, हमलावरों को इनबॉक्स को तोड़ने में अक्सर कुछ ही मिनट चाहिए होते हैं, लेकिन रक्षकों को उपयोग किए जा रहे छिद्रों को पैच करने में मात्र 55 दिन का माध्यिका समय चला। पचास-पाँच दिन। कागजी काम के पकड़ में आने तक लगभग दो महीने तक खुला दरवाज़ा। और यह सब इससे पहले कि कोई उस ईमेल का मसौदा तैयार करे जो अंत में आपके इनबॉक्स में आता है, जिसकी शुरुआत होती है "हम आपकी गोपनीयता को गंभीरता से लेते हैं।"

वे नहीं लेते। वे जो गंभीरता से लेते हैं वह है कानून।

अधिकांश लोग मानते हैं कि ब्रीच सूचना कुछ घंटों में मापी जाने वाली घड़ी पर चलती है, जैसे आग का अलर्ट काम करता है। ऐसा नहीं है। California का ब्रीच कानून, Civil Code 1798.82—दादा जो कि अधिकांश अन्य राज्यों ने अपना अनुकरण किया—"सबसे तेज़ समय में और अनुचित देरी के बिना" प्रकटीकरण की आवश्यकता रखता है। सुनने में जरूरी लगता है। फिर वह "कानून प्रवर्तन की वैध ज़रूरतों" और ब्रीच के "दायरे को निर्धारित करने और सिस्टम की उचित अखंडता को बहाल करने" के लिए आवश्यक समय के लिए जगह छोड़ता है। अनुवाद: जब तक आप तर्क दे सकते हैं कि आप अभी भी जांच कर रहे थे, घड़ी वास्तव में शुरू ही नहीं हुई है।

विशिष्ट क्षेत्रों के बाहर संघीय नियम ज्यादा कड़े नहीं हैं। HIPAA के तहत चिकित्सा ब्रीच कवर किए गए इकाइयों को 60 दिन तक का समय देते हैं। SEC का सार्वजनिक कंपनियों के लिए नया नियम चार व्यावसायिक दिनों के भीतर प्रकटीकरण की मांग करता है—लेकिन केवल यह सुनिश्चित करने के बाद कि कंपनी तय करे कि घटना "material" है, और उस निर्धारण के लिए कोई कठोर समय सीमा नहीं है। यह समय सीमा ऊपर से नीचे तक है, और उनमें से हर एक उस निर्णय पर लंगर डाली गई है जो ब्रीच की गई कंपनी को लेने का अधिकार है।

तो देरी अक्षमता नहीं है। यह आर्किटेक्चर है।

दूसरा संकेत वह वाक्य है जो आप लगभग हर नोटिस में देखेंगे: "हमारे पास कोई सबूत नहीं है कि आपकी जानकारी का दुरुपयोग किया गया है।" इसे धीरे-धीरे पढ़ें। यह इस बारे में एक बयान नहीं है कि आपका डेटा सुरक्षित है या नहीं। यह इस बारे में एक बयान है कि कंपनी ने क्या देखा और नहीं मिला। ये बिल्कुल अलग चीज़ें हैं। एक चोरी किए गए क्रेडेंशियल डंप को महीनों के लिए एक फोरम पर बैठ सकते हैं, खरीदे जा सकते हैं, एक दर्जन अन्य साइटों के खिलाफ परीक्षण किए जा सकते हैं, और एक खाते को नाली कर सकते हैं जिसका ब्रीच की गई कंपनी से कोई लेना-देना नहीं है—और यह सभी गतिविधि उनके लॉग में दिखाई नहीं देती। "दुरुपयोग का कोई सबूत नहीं" कॉर्पोरेट दुनिया का "मुझे किसी को इसे ले जाते हुए नहीं देखा," है, जो उस व्यक्ति द्वारा पेश किया जाता है जो दूसरी ओर देख रहा था।

जब नोटिस आता है, तब तक आपका ईमेल और पासवर्ड खुले बाजार में एक पूरे मौसम के लिए रह चुके होते हैं। Credential-stuffing स्वचालित और सस्ता है; सूचियों को लगातार पुनः बेचा और पुनः संयोजित किया जाता है। ब्रीच पत्र एक ऐतिहासिक दस्तावेज़ है।

यही कारण है कि आपको माफी के ईमेल को चेतावनी की जगह रसीद के रूप में मानना चाहिए। सुरक्षात्मक कदम पहले से ही हो चुका—या नहीं हुआ—कुछ हफ्ते पहले। जो चीज़ें वास्तव में मदद करती हैं वे उबाऊ हैं और किसी के कानूनी विभाग की प्रतीक्षा नहीं करती हैं: प्रत्येक साइट के लिए एक अद्वितीय पासवर्ड ताकि एक लीक डोमिनो न कर सके, एक पासवर्ड मैनेजर ताकि आप वास्तव में ऐसा करें, और SMS की जगह एक ऐप या हार्डवेयर कुंजी का उपयोग करके दो-कारक प्रमाणीकरण। अपने पते को Have I Been Pwned के विरुद्ध जांचें जब भी आप जिज्ञासु हों, न कि जब कोई कंपनी आपको बताने के लिए आसपास आए।

और जब नोटिस आता है, तो मुफ्त क्रेडिट मॉनिटरिंग का विरोध करें जो वे मेल-मिलाप के रूप में फंसाते हैं। यह एक घोड़े को देखने का एक साल है जो वसंत में खलिहान छोड़ गया। नुकसान, अगर कोई होने वाला है, तो वकीलों द्वारा निर्धारित घड़ी की तुलना में तेज़ घड़ी पर चलता है। पत्र केवल हर किसी का कागजी काम अंत में मिल जाना है।

इसे फाइल करें। पासवर्ड बदलें। आगे बढ़ें। वे पहले ही ऐसा कर चुके हैं।

@@END@@