L'email di scuse arriva tardi di proposito

Ecco il numero che dovrebbe darti fastidio: nel 2024 Data Breach Investigations Report di Verizon, gli attaccanti hanno spesso bisogno solo di minuti per forzare una casella email, ma i difensori hanno impiegato una mediana di 55 giorni solo per correggere le vulnerabilità sfruttate. Cinquantacinque giorni. Quasi due mesi con la porta aperta mentre la documentazione si accumula. E questo è ancora prima che qualcuno rediga l'email che alla fine ti arriva nella tua casella, che inizia con "Prendiamo seriamente la tua privacy".

Non è vero. Quello che prendono sul serio è lo statuto.

La maggior parte delle persone suppone che la notifica di violazione funzioni su una specie di orologio misurato in ore, come un allarme antincendio. Non è così. La legge sulla violazione della California, Civil Code 1798.82—il capostipite su cui la maggior parte degli altri stati ha modellato le proprie leggi—richiede la divulgazione "nel tempo più breve possibile e senza indebito ritardo". Sembra urgente. Poi fa spazio per "le legittime esigenze delle forze dell'ordine" e il tempo necessario "per determinare l'ambito della violazione e ripristinare l'integrità ragionevole" del sistema. Traduzione: finché puoi argomentare che stavi ancora indagando, l'orologio non è realmente partito.

Le regole federali non sono molto più stringenti al di fuori di settori specifici. Le violazioni mediche secondo l'HIPAA danno alle entità coperte fino a 60 giorni. La norma più recente della SEC per le società pubbliche richiede la divulgazione entro quattro giorni lavorativi—ma solo dopo che l'azienda decide che l'incidente è "materiale", e questa determinazione non ha nemmeno una scadenza fissa. Sono scadenze su scadenze, e ognuna di esse è ancorata a un giudizio che la società violata si ritrova a dover fare.

Quindi il ritardo non è incompetenza. È architettura.

Il secondo indizio è la frase che vedrai in quasi tutte le comunicazioni: "non abbiamo prove che le tue informazioni siano state utilizzate in modo improprio". Leggi lentamente. Non è un'affermazione sulla sicurezza dei tuoi dati. È un'affermazione su quello che l'azienda ha cercato e non ha trovato. Sono cose completamente diverse. Un dump di credenziali rubate può stare su un forum per mesi, essere comprato, essere testato contro una dozzina di altri siti, e svuotare un account che non ha nulla a che fare con l'azienda violata—e nessuna di queste attività appare nei loro log. "Nessuna prova di uso improprio" è l'equivalente aziendale di "Non ho visto nessuno prenderlo", offerto dalla persona che stava guardando dall'altra parte.

Nel momento in cui la comunicazione arriva, la tua email e la tua password hanno già avuto un'intera stagione sul mercato aperto. Lo credential-stuffing è automatizzato ed economico; gli elenchi vengono rivenduti e ricombinati costantemente. La lettera di violazione è un documento storico.

Ecco perché dovresti trattare l'email di scuse come una ricevuta, non come un avviso. La mossa protettiva è già accaduta—oppure no—settimane prima. Le cose che effettivamente aiutano sono noiose e non aspettano che nessun dipartimento legale si muova: una password unica per ogni sito in modo che una fuga non si diffonda a cascata, un password manager così effettivamente lo farai, e l'autenticazione a due fattori utilizzando un'app o una chiave hardware invece dell'SMS. Controlla il tuo indirizzo su Have I Been Pwned quando sei curioso, non quando un'azienda finalmente si decide a dirti.

E quando la comunicazione arriva, resisti al monitoraggio del credito gratuito che ti agitano come offerta di pace. È un anno di sorveglianza di un cavallo che è scappato dal recinto in primavera. Il danno, se ce ne sarà uno, tende a procedere su un orologio più veloce di quello che i legali hanno impostato. La lettera è solo quando la documentazione di tutti finalmente si decide a incontrarsi.

Archiviala. Cambia la password. Vai avanti. Lo hanno già fatto.