Email z przeprosinami przychodzi celowo z opóźnieniem

Oto liczba, która powinna cię wkurzyć: w raporcie Verizon 2024 Data Breach Investigations Report atakujący potrzebują zaledwie minut, aby włamać się na skrzynkę odbiorczą, ale obrońcom zajęło medianę 55 dni tylko na załatanie dziur, które były wykorzystywane. Pięćdziesiąt pięć dni. Prawie dwa miesiące otwartych drzwi, podczas gdy dokumentacja dogania sytuację. A to jeszcze przed tym, zanim ktoś sformułuje email, który ostatecznie trafia do twojej skrzynki odbiorczej, zaczynając od „Bierzemy twoją prywatność na serio".

Nie biorą. Poważnie biorą przepisy.

Większość ludzi zakłada, że powiadomienie o wycieku działa na jakimś zegarze mierzonym w godzinach, jak czujnik dymu. Tak nie jest. Prawo Kalifornii dotyczące wycieku, Civil Code 1798.82—praojciec, który większość innych stanów modelowała na swoim – wymaga ujawnienia „w najszybszym możliwym czasie i bez nieuzasadnionej zwłoki". Brzmi pilnie. Następnie wyłącza z niego miejsce na „uzasadnione potrzeby organów ścigania" i czas potrzebny na „ustalenie zakresu wycieku i przywrócenie rozsądnej integralności" systemu. Tłumaczenie: dopóki możesz argumentować, że wciąż prowadziłeś dochodzenie, zegar właściwie się nie uruchomił.

Przepisy federalne nie są znacznie bardziej restrykcyjne poza konkretnymi sektorami. Naruszenia medyczne na mocy HIPAA dają objętym podmiotom do 60 dni. Nowsza reguła SEC dla spółek publicznych wymaga ujawnienia w ciągu czterech dni roboczych – ale tylko po tym, jak firma uzna zdarzenie za „istotne", a to ustalenie nie ma twardego terminu. To terminy aż do końca, i każdy z nich opiera się na ocenie, którą podejmuje firma, która doświadczyła wycieku.

Opóźnienie nie jest więc niedopatrzeniem. To architektura.

Drugi sygnał to fraza, którą zobaczysz w prawie każdym powiadomieniu: „nie mamy dowodów na to, że twoje informacje zostały niewłaściwie użyte". Przeczytaj to powoli. To nie stwierdzenie o tym, czy twoje dane są bezpieczne. To stwierdzenie o tym, co firma szukała i nie znalazła. To całkowicie różne rzeczy. Skradziony zrzut poświadczeń może leżeć na forum przez miesiące, zostać kupiony, zostać testowany dla kilkunastu innych stron i wyczerpać konto, które nie ma nic wspólnego z firmą, która doświadczyła wycieku – i żadna z tych działań nie pojawia się w ich dziennikach. „Brak dowodów na niewłaściwe użycie" to korporacyjny odpowiednik „nie widziałem, żeby ktoś to wziął", wypowiadany przez osobę, która patrzyła w innym kierunku.

Kiedy zawiadomienie przychodzi, twój email i hasło miały już pełny sezon na otwartym rynku. Credential-stuffing jest zautomatyzowany i tani; listy są stale odsprzedawane i recombinowane. List o wycieku to dokument historyczny.

Dlatego powinieneś traktować email z przeprosinami jako paragon, a nie ostrzeżenie. Ochronna akcja już się wydarzyła – lub nie – tygodnie wcześniej. Rzeczy, które faktycznie pomagają, są nudne i nie czekają na departament prawny nikogo: unikalne hasło na każdą stronę, aby jeden wyciek nie spowodował efektu domina, menedżer haseł, żeby faktycznie to zrobiłeś, oraz uwierzytelnianie dwuskładnikowe za pomocą aplikacji lub klucza sprzętowego zamiast SMS. Sprawdź swoją stronę u Have I Been Pwned, kiedy jesteś ciekawy, a nie kiedy firma wreszcie do ciebie dotrze.

A kiedy zawiadomienie trafi, opierz się bezpłatnemu monitorowaniu kredytu, którym machają jako ofertą pokojową. To rok obserwacji konia, który wyszedł z zagrody na wiosnę. Uszkodzenie, jeśli w ogóle się pojawi, zwykle przebiega na szybszym zegarze niż ten, który ustawili prawnicy. List to tylko dokumentacja wszystkich, która wreszcie się spotyka.

Przechowaj go. Zmień hasło. Idź dalej. Oni już to zrobili.