O Email de Desculpas É Intencionalalmente Atrasado

Aqui está o número que deveria incomodá-lo: no Relatório de Investigações de Violações de Dados de 2024 da Verizon, os invasores frequentemente precisam apenas de minutos para forçar a entrada de uma caixa de entrada, mas os defensores levaram uma mediana de 55 dias apenas para corrigir as falhas sendo exploradas. Cinquenta e cinco dias. Quase dois meses com a porta aberta enquanto a documentação se atrasa. E isso é antes de qualquer pessoa redigir o email que eventualmente chega à sua caixa de entrada, começando com "Levamos sua privacidade a sério."

Eles não levam. O que eles levam a sério é o estatuto.

A maioria das pessoas assume que a notificação de violação funciona em algum relógio medido em horas, como um alarme de incêndio. Não é assim. A lei de violação da Califórnia, Código Civil 1798.82—a precursora que a maioria dos outros estados modelou as delas—exige divulgação "no tempo mais expedito possível e sem atraso injustificável." Parece urgente. Depois ela abre espaço para "as necessidades legítimas da aplicação da lei" e o tempo necessário "para determinar o escopo da violação e restaurar a integridade razoável" do sistema. Tradução: contanto que você possa argumentar que ainda estava investigando, o relógio não começou de verdade.

As regras federais não são muito mais rigorosas fora de setores específicos. Violações médicas sob HIPAA dão às entidades cobertas até 60 dias. A regra mais recente da SEC para empresas públicas exige divulgação em quatro dias úteis—mas apenas depois que a empresa decide que o incidente é "relevante", e essa determinação não tem prazo final rígido. São prazos em todos os lugares, e cada um deles é ancorado a um julgamento que a empresa violada consegue fazer.

Então o atraso não é incompetência. É arquitetura.

O segundo indicador é a frase que você verá em praticamente cada notificação: "não temos evidência de que suas informações foram usadas indevidamente." Leia isso devagar. Não é uma afirmação sobre se seus dados estão seguros. É uma afirmação sobre o que a empresa procurou e não encontrou. Essas são coisas completamente diferentes. Um despejo de credencial roubado pode ficar em um fórum por meses, ser comprado, ser testado contra uma dúzia de outros sites, e drenar uma conta que não tem nada a ver com a empresa violada—e nenhuma dessa atividade aparece nos seus logs. "Sem evidência de uso indevido" é o equivalente corporativo de "não vi ninguém pegar", oferecido pela pessoa que estava olhando para o lado oposto.

Quando a notificação chegar, seu email e senha tiveram uma estação inteira no mercado aberto. Credential-stuffing é automatizado e barato; as listas são revendidas e recombinadas constantemente. A carta de violação é um documento histórico.

É por isso que você deveria tratar o email de desculpas como um recibo, não como um aviso. O movimento de proteção já aconteceu—ou não—semanas antes. As coisas que realmente ajudam são chatas e não esperem por ninguém do departamento jurídico: uma senha única por site para que um vazamento não cause um efeito dominó, um gerenciador de senhas para você realmente fazer isso, e autenticação de dois fatores usando um app ou uma chave de hardware em vez de SMS. Verifique seu próprio endereço contra Have I Been Pwned quando estiver curioso, não quando uma empresa finalmente conseguir contar a você.

E quando a notificação chegar, resista ao monitoramento de crédito grátis que eles oferecem como oferecimento de paz. É um ano de vigiar um cavalo que saiu do celeiro na primavera. O dano, se houver, tende a funcionar em um relógio mais rápido do que o que os advogados estabeleceram. A carta é apenas toda a documentação de todos finalmente concordando em se encontrar.

Arquive-a. Mude a senha. Siga em frente. Eles já fizeram.