A bocsánatkérő email szándékosan későn érkezik

Íme a szám, amely meg kellene, hogy sértse: a Verizon 2024-es Data Breach Investigations Report szerint a támadók gyakran csak percek alatt feltörnek egy postafiókot, de a védők a kiaknázott biztonsági lyukak javításához átlagosan 55 napot vesznek igénybe. Ötvenöt nap. Majdnem két hónapos nyitott ajtó, miközben az irodalom felzárkózik. És ez még mindig azelőtt, hogy valaki megírja azt az emailt, amely végül az te postafiókodba érkezik, és az „We take your privacy seriously" szöveggel kezdődik.

Nem teszik. Amit komolyan vesznek, az a jogszabály.

A legtöbb ember feltételezi, hogy az adatszivárgás bejelentése órákban mérhető időn alapul, ahogy egy tűzriasztó működik. De nem így működik. Kalifornia adatszivárgás-törvénye, a Civil Code 1798.82—amely az ősatya, amely után a legtöbb másik állam a magáét modellezi—azt követeli, hogy a bejelentés „a lehető leggyorsabban és indokolatlan késedelem nélkül" történjen. Sürgősnek hangzik. Majd azonban kivehet helyet a „rendőrség jogos szükségleteinek" és az időnek, amely „a szivárgás hatókörének meghatározásához és a rendszer indokolt integritásának helyreállításához" szükséges. Fordítás: amíg azt tudod érvelni, hogy még mindig nyomozol, az óra valójában nem kezdett el futni.

A szövetségi szabályok nem sokkal szigorúbbak az egyes szektorokon kívül. Az orvosi adatszivárgások a HIPAA alatt az érintett szervezeteknek akár 60 napot adnak. Az SEC nyabb szabálya a nyilvánosan működő vállalatok számára négy munkanap alatt követeli meg a bejelentést—de csak azután, hogy a vállalat úgy dönt, hogy az incidens „lényeges", és ennek a megállapításnak nincs kemény határideje sem. Határidő van mindenütt, és mindegyik olyan ítélethez kötött, amit a sérült vállalat hozhat meg.

Tehát a késedelem nem szerencsétlenség. Ez az építészet.

A második jel az a kifejezés, amelyet szinte minden bejelentésben látni fogsz: „nincs bizonyítékunk arra, hogy az adataidat visszaéléssel használták volna." Olvasd ezt lassan. Ez nem olyan kijelentés, hogy az adataid biztonságban vannak. Ez egy kijelentés arról, amit a vállalat keresett, és nem talált. Ezek vadul különböznek. Egy ellopott hitelesítési adat-dump hónapokig maradhat egy fórumon, megvásárolható, tesztelható lehet egy tucatnyi más oldal ellen, és teljesen más okot kiüríthet egy olyan fiókból, amely nincs köze a sérült vállalathoz—és ezeknek a tevékenységeknek egyik sem jelenik meg az ő naplóikban. A „nincs bizonyíték a visszaélésre" a vállalati ekvivalense a „nem láttam, hogy valaki elvegye", amelyet az a személy ajánl fel, aki az másik irányba nézett.

Mire az értesítés megérkezik, az e-mailodd és jelszavad egy teljes szezont töltött a nyílt piacon. Az adathitelesítés-kitöltés automatizált és olcsó; a listák állandóan újra kerülnek eladásra és újra kombinálásra. Az adatszivárgás levele egy történeti dokumentum.

Ezért kell a bocsánatkérő emailt számlának, nem pedig figyelmeztetésnek kezelned. A védelmi lépés már megtörtént—vagy nem—hetekkel korábban. Az olyan dolgok, amelyek valójában segítenek, unalmasak és nem várnak senki jogi osztályára: egyedi jelszó minden oldalon, így egy szivárgás nem domino-effektust, egy jelszókezelő, hogy valóban megtedd ezt, és kétfaktoros hitelesítés egy app vagy egy hardveres kulcs használatával az SMS helyett. Nézd meg a saját címed a Have I Been Pwned ellen, amikor kíváncsi vagy, nem amikor egy vállalat végre megoldja, hogy elmondja neked.

És amikor az értesítés megérkezik, állj ellen az ingyenes hitelmonitoring ígéretének, amit békefelajánlásként csüngesztenek. Ez egy év egy olyan ló megfigyelése, amely már tavaszban elment. A kár, ha lesz, általában gyorsabb óráján fut, mint amit a jogászok megállapítottak. A levél csak mindenki papírja végül egyetért.

Archiváld. Változtass jelszót. Menj tovább. Ők már végeztek.