Email-ul de scuze vine intenționat cu întârziere

Iată cifra care ar trebui să te supere: în Raportul Verizon din 2024 privind investigarea breșelor de date, atacatorii au nevoie adesea doar de minute pentru a forța o cutie de inbox, dar apărătorii au luat o mediană de 55 de zile doar pentru a putaja găurile exploatate. Cincizeci și cinci de zile. Aproape două luni cu ușa deschisă în timp ce hârtiile se prind din urmă. Și asta e înainte ca cineva să redacteze email-ul care în sfârșit ajunge în inbox-ul tău, începând cu „Luăm confidențialitatea dvs. în serios."

Nu o fac. Ceea ce iau în serios este statutul.

Majoritatea oamenilor presupun că notificarea breșei funcționează pe un ceas măsurat în ore, așa cum funcționează o alarmă de incendiu. Nu e așa. Legea privind breșele din California, Codul Civil 1798.82—străbunica pe care cele mai multe alte state și-au modelat legile după ea—cere divulgarea „în cea mai rapidă manieră posibilă și fără întârziere nejustificată." Sună urgent. Apoi se creează spațiu pentru „necesitățile legitime ale forțelor de ordine" și timpul necesar „pentru a determina amploarea breșei și a restabili integritatea rezonabilă" a sistemului. Traducere: cât timp poți argumenta că încă investigai, ceasul nu a început cu adevărat.

Regulile federale nu sunt mult mai stricte în afara unor sectoare specifice. Breșele medicale în temeiul HIPAA dau entităților acoperite până la 60 de zile. Noua regulă a SEC pentru companiile publice cere divulgarea în termen de patru zile lucrătoare—dar numai după ce compania decide că incidentul este „material", iar această determinare nu are nici o limită de timp fixă. Sunt termen după termen, și fiecare dintre ele este ancorat la o judecată pe care o face compania breșată.

Deci întârzierea nu e incompetență. E arhitectură.

Al doilea indiciu e fraza pe care o vei vedea în aproape fiecare notificare: „nu avem dovezi că informațiile tale au fost utilizate abuziv." Citește asta rar. Nu e o afirmație despre dacă datele tale sunt sigure. E o afirmație despre ceea ce a căutat compania și nu a găsit. Acestea sunt lucruri complet diferite. Un dump de credențiale furate poate rămâne pe un forum luni, poate fi cumpărat, poate fi testat pe alte zeci de situri, și poate goli un cont care n-are nimic de-a face cu compania breșată—și niciuna dintre aceste activități nu apare în jurnalele lor. „Niciun indiciu de utilizare abuzivă" e echivalentul corporativ al „nu am văzut pe nimeni să o ia", spus de persoana care se uita în altă direcție.

Până când notificarea ajunge, email-ul și parola ta au avut un sezon plin pe piața deschisă. Credential-stuffing-ul e automatizat și ieftin; listele se revând și se recombină constant. Scrisoarea de breșă e un document istoric.

De aceea ar trebui să tratezi email-ul de scuze ca pe o chitanță, nu ca pe o avertizare. Pasul protector s-a întâmplat deja—sau nu—săptămâni mai devreme. Lucrurile care cu adevărat ajută sunt plictisitoare și nu-și așteaptă departamentul legal: o parolă unică per site pentru ca o scurgere să nu creeze reacție în lanț, un manager de parole pentru ca să faci asta cu adevărat, și autentificarea cu doi factori folosind o aplicație sau o cheie hardware în loc de SMS. Verifică-ți propria adresă pe Have I Been Pwned ori de câte ori ești curios, nu atunci când o companie în sfârșit se gândește să-ți spună.

Și atunci când notificarea ajunge, rezistă la monitorizarea creditului gratuit pe care o-și dangleaza ca ofrandă de pace. E un an de privit la un cal care a ieșit din grajd în primăvară. Daunele, dacă vor fi vreodată, au tendința de a funcționa pe un ceas mai rapid decât cel pe care l-au stabilit avocații. Scrisoarea e doar hârtiile tuturor în sfârșit de acord să se întâlnească.

Clasifică-o. Schimbă parola. Mergi mai departe. Ei deja au făcut-o.