De verontschuldigingsemail komt opzettelijk te laat

Hier is het getal dat je zou moeten ergeren: in Verizons 2024 Data Breach Investigations Report hebben aanvallers vaak slechts minuten nodig om een inbox open te breken, maar het kostte verdedigers een mediane tijd van 55 dagen om alleen al de beveiligingsgaten te dichten die ervan misbruik maakten. Vijfenvijftig dagen. Bijna twee maanden met open deur terwijl de paperwork achterloopt. En dat is nog voordat iemand de email opmaakt die uiteindelijk in jouw inbox belandt, stellende met "We nemen je privacy serieus."

Dat doen ze niet. Wat ze serieus nemen is de wet.

De meeste mensen gaan ervan uit dat meldingsplicht voor datalekken volgens een klok werkt gemeten in uren, zoals een brandalarm. Dat doet het niet. De breachlaw van Californië, Civil Code 1798.82—de voorloper die de meeste andere staten nabootsten—verplicht openbaarmaking "in de snelst mogelijke tijd en zonder onredelijke vertraging." Klinkt urgent. Maar het bevat ook ruimte voor "de legitieme behoeften van wetshandhaving" en de tijd nodig "om de omvang van het lek te bepalen en de redelijke integriteit van het systeem te herstellen." Vertaling: zolang je kunt stellen dat je nog steeds aan het onderzoeken was, is de klok eigenlijk niet gestart.

Federale regels zijn niet veel strakker buiten specifieke sectoren. Medische datalekken onder HIPAA geven bedrijven onder toezicht tot 60 dagen. De nieuwere regel van de SEC voor openbare bedrijven eist openbaarmaking binnen vier werkdagen—maar alleen nadat het bedrijf heeft bepaald dat het incident "materieel" is, en deze bepaling heeft zelf geen vaste deadline. Het zijn deadlines tot in het oneindige, en elke een ervan is verankerd aan een oordeel dat het getroffen bedrijf zelf mag vellen.

De vertraging is dus geen incompetentie. Het is architectuur.

De tweede aanwijzing is de zin die je in nagenoeg elke melding zult zien: "we hebben geen bewijs dat je informatie misbruikt is." Lees dat langzaam. Het is geen uitspraak over of je gegevens veilig zijn. Het is een uitspraak over wat het bedrijf zocht en niet vond. Dat zijn wilde verschillende dingen. Een gestolen wachtwoordstapel kan maanden op een forum zitten, gekocht worden, tegen een dozijn andere sites getest worden, en een account leeghalen die niets met het getroffen bedrijf te maken heeft—en geen van die activiteiten verschijnt in hun logs. "Geen bewijs van misbruik" is het bedrijfsequivalent van "Ik zag niemand het meenemen," gezegd door iemand die de andere kant op keek.

Op het moment dat de melding aankomt, hebben je email en wachtwoord een heel seizoen op de open markt rondgelopen. Credential-stuffing is geautomatiseerd en goedkoop; de lijsten worden constant doorverkocht en opnieuw gecombineerd. De breachbrief is een historisch document.

Daarom moet je de verontschuldigingsemail als ontvangstbewijs behandelen, niet als waarschuwing. De beschermende maatregel gebeurde al—of niet—weken eerder. De dingen die werkelijk helpen zijn saai en wachten op niemand's juridische afdeling: een uniek wachtwoord per site zodat één lek niet kan doorslaan, een wachtwoordmanager zodat je dat echt doet, en twee-factor authenticatie via een app of hardwaresleutel in plaats van SMS. Controleer je eigen adres tegen Have I Been Pwned wanneer je nieuwsgierig bent, niet wanneer een bedrijf eindelijk tijd voor je vrijmaakt.

En wanneer de melding toch aankomt, verzet je tegen de gratis creditmonitoring die ze als vredesoffer aanbieden. Het is een jaar lang kijken naar een paard dat in de lente uit de schuur ontsnapte. De schade, als die er gaat zijn, loopt meestal op een sneller klok dan degene die de advocaten hebben ingesteld. De brief is gewoon iedereen's paperwork die eindelijk akkoord gaat.

Bewaar het. Wijzig het wachtwoord. Ga verder. Zij hebben dat al gedaan.