Email Permintaan Maaf Memang Datang Terlambat

Ini adalah angka yang seharusnya membuat Anda kesal: dalam Verizon's 2024 Data Breach Investigations Report, penyerang hanya membutuhkan beberapa menit untuk membuka inbox, tetapi pembela memerlukan median 55 hari hanya untuk menambal lubang yang sedang dieksploitasi. Lima puluh lima hari. Hampir dua bulan pintu terbuka sementara dokumen tertinggal. Dan itu sebelum siapa pun menyusun email yang akhirnya mendarat di inbox Anda, dimulai dengan "Kami menganggap privasi Anda serius."

Mereka tidak. Yang mereka anggap serius adalah peraturannya.

Kebanyakan orang menganggap notifikasi pelanggaran data berjalan menurut jam yang diukur dalam hitungan jam, seperti cara alarm kebakaran bekerja. Tidak begitu. Undang-undang pelanggaran data California, Civil Code 1798.82—pendahulu yang dijadikan model oleh sebagian besar negara bagian lain—memerlukan pengungkapan "dalam waktu yang paling ekspedisien dan tanpa penundaan yang tidak wajar." Terdengar mendesak. Kemudian ini mengecualikan ruang untuk "kebutuhan sah penegakan hukum" dan waktu yang diperlukan "untuk menentukan ruang lingkup pelanggaran dan memulihkan integritas wajar" dari sistem. Terjemahan: selama Anda dapat berpendapat bahwa Anda masih dalam penyelidikan, jam belum benar-benar dimulai.

Aturan federal tidak jauh lebih ketat di luar sektor-sektor tertentu. Pelanggaran medis di bawah HIPAA memberi entitas tertanggung hingga 60 hari. Aturan terbaru SEC untuk perusahaan publik menuntut pengungkapan dalam empat hari kerja—tetapi hanya setelah perusahaan memutuskan bahwa insiden tersebut "material," dan penentuan itu tidak memiliki tenggat waktu keras sekalipun. Ini batas waktu sepanjang jalan, dan setiap satu di antaranya adalah jangkar untuk penilaian yang dilakukan oleh perusahaan yang dilanggar.

Jadi penundaan itu bukan ketidakmampuan. Ini adalah arsitektur.

Indikator kedua adalah frasa yang akan Anda lihat di hampir setiap pemberitahuan: "kami tidak memiliki bukti bahwa informasi Anda telah disalahgunakan." Baca itu dengan lambat. Ini bukan pernyataan tentang apakah data Anda aman. Ini adalah pernyataan tentang apa yang dicari perusahaan dan tidak ditemukan. Ini adalah hal-hal yang sangat berbeda. Dump kredensial yang dicuri dapat duduk di forum selama berbulan-bulan, dibeli, diuji terhadap selusin situs lain, dan menguras akun yang tidak ada hubungannya dengan perusahaan yang dilanggar—dan tidak ada aktivitas itu yang muncul di log mereka. "Tidak ada bukti penyalahgunaan" adalah persamaan korporat dari "saya tidak melihat siapa pun mengambilnya," yang ditawarkan oleh orang yang menoleh ke arah lain.

Pada saat pemberitahuan tiba, email dan kata sandi Anda telah memiliki musim penuh di pasar terbuka. Credential-stuffing adalah otomatis dan murah; daftar terus dijual kembali dan digabungkan. Surat pelanggaran adalah dokumen historis.

Inilah mengapa Anda harus memperlakukan email permintaan maaf sebagai kuitansi, bukan peringatan. Langkah perlindungan yang sebenarnya terjadi—atau tidak—berminggu-minggu sebelumnya. Hal-hal yang benar-benar membantu membosankan dan tidak menunggu departemen hukum siapa pun: kata sandi unik per situs sehingga satu kebocoran tidak dapat berdominasi, manajer kata sandi sehingga Anda benar-benar akan melakukannya, dan autentikasi dua faktor menggunakan aplikasi atau kunci perangkat keras bukan SMS. Periksa alamat Anda sendiri terhadap Have I Been Pwned kapan pun Anda ingin tahu, bukan saat perusahaan akhirnya memiliki waktu untuk memberitahu Anda.

Dan saat pemberitahuan tiba, tolak pemantauan kredit gratis yang mereka tawarkan sebagai tanda kedamaian. Ini adalah setahun menonton kuda yang meninggalkan gudang di musim semi. Kerusakan, jika akan ada, cenderung berjalan dengan jam yang lebih cepat daripada jam yang ditetapkan para pengacara. Surat itu hanya semua dokumen akhirnya setuju untuk bertemu.

Arsipkan. Ubah kata sandi. Lanjutkan. Mereka sudah melakukannya.