Письмо с извинениями приходит с задержкой. Это сделано намеренно.

Вот цифра, которая должна вас раздражать: в отчёте Verizon о взломах данных за 2024 год злоумышленникам часто нужно всего несколько минут, чтобы вскрыть почтовый ящик, а защитникам потребовалось медиана в 55 дней просто на то, чтобы закрыть дыры, которые эксплуатировались. Пятьдесят пять дней. Почти два месяца открытой двери, пока документы наверстывают упущенное. И это ещё до того, как кто-то напишет письмо, которое в конце концов приземлится вам в почтовый ящик, начиная со слов «Мы серьёзно относимся к вашей конфиденциальности».

Относятся не они. Серьёзно они относятся к закону.

Большинство людей предполагают, что уведомление об утечке начинает отсчёт в часах, как сработала пожарная тревога. Но это не так. Закон Калифорнии об утечке данных, Civil Code 1798.82—родоначальник, по образцу которого большинство других штатов строили свои законы,—требует раскрытия информации «в максимально возможно короткие сроки и без неоправданной задержки». Звучит срочно. Но потом появляется оговорка о «законных потребностях правоохранительных органов» и времени, необходимом «для определения масштаба утечки и восстановления разумной целостности» системы. Перевод: пока вы можете утверждать, что ещё расследуете, часы на самом деле не начали идти.

Федеральные правила не намного жёстче вне конкретных секторов. Утечки медицинских данных по HIPAA дают подконтрольным организациям до 60 дней. Новое правило SEC для публичных компаний требует раскрытия информации в течение четырёх рабочих дней—но только после того, как компания решит, что инцидент «существенен», и это определение вообще не имеет жёсткого срока. Это сроки по всей цепочке, и каждый из них привязан к суждению, которое принимает сама скомпрометированная компания.

Итак, задержка—это не некомпетентность. Это архитектура.

Вторая подсказка—это фраза, которую вы увидите почти в каждом уведомлении: «у нас нет свидетельств того, что ваша информация была использована в неправомерных целях». Прочитайте это медленно. Это не утверждение о том, безопасны ли ваши данные. Это утверждение о том, что компания ищет и не нашла. Это совершенно разные вещи. Украденный набор учётных данных может лежать на форуме месяцами, быть куплен, проверен на дюжине других сайтов и истощить учётную запись, не имеющую никакого отношения к скомпрометированной компании—и ни одна из этих операций не появляется в их логах. «Нет свидетельств неправомерного использования»—это корпоративный эквивалент «я не видел, чтобы кто-то это брал», предложенный человеком, который смотрел в другую сторону.

К тому времени, когда приходит уведомление, ваш адрес электронной почты и пароль уже имели полный сезон на открытом рынке. Stuffing учётных данных автоматизирован и дёшев; списки постоянно перепродаются и переформатируются. Письмо об утечке—это исторический документ.

Именно поэтому вы должны относиться к письму с извинениями как к квитанции, а не к предупреждению. Защитные действия уже произошли—или не произошли—неделями раньше. Вещи, которые действительно помогают, скучны и не ждут чьего-то юридического отдела: уникальный пароль для каждого сайта, чтобы один взлом не вызвал цепную реакцию, менеджер паролей, чтобы вы действительно это делали, и двухфакторная аутентификация через приложение или аппаратный ключ вместо SMS. Проверьте свой адрес на Have I Been Pwned всякий раз, когда вам любопытно, а не когда компания наконец-то до этого доберётся.

И когда уведомление всё же приходит, сопротивляйтесь бесплатному мониторингу кредитоспособности, который они предлагают в качестве миротворческого жеста. Это год наблюдения за конём, который выбежал из сарая весной. Ущерб, если он вообще будет, обычно начинает отсчёт по более быстрому циклу, чем тот, что установили адвокаты. Письмо—это просто документы, которые наконец договорились встретиться.

Подшивайте его. Измените пароль. Двигайтесь дальше. Они уже это сделали.