Ursäktsmailet kommer försent i syfte

Här är siffran som borde irritera dig: i Verizons 2024 Data Breach Investigations Report behöver angripare ofta bara minuter för att bryta sig in i en inkorg, men försvaret tog en median på 55 dagar bara för att täppa till hålen som utnyttjades. Femtiofemsifftio dagar. Nästan två månader med öppen dörr medan pappersarbetet hinner ikapp. Och det är innan någon ens skriver mejlet som till slut hamnar i din inkorg, som börjar med "We take your privacy seriously."

Det gör de inte. Det de tar på allvar är lagen.

De flesta antar att anmälan om dataintrång följer någon klocka mätt i timmar, som en brandlarm. Det gör den inte. Kaliforniens intrångslag, Civil Code 1798.82—grundfadern som de flesta andra stater modellerade sina lagar efter—kräver anmälan "in the most expedient time possible and without unreasonable delay." Låter brådskande. Sedan skapar det utrymme för "the legitimate needs of law enforcement" och den tid som behövs "to determine the scope of the breach and restore the reasonable integrity" av systemet. Översättning: så länge du kan hävda att du fortfarande utredde, har klockan inte riktigt startat.

Federala regler är inte mycket strängare utanför specifika sektorer. Medicinska intrång enligt HIPAA ger täckta enheter upp till 60 dagar. SECs nyare regel för börsotaterade företag kräver anmälan inom fyra arbetsdagar—men bara efter att företaget beslutat att incidenten är "material", och den bestämningen har ingen hård deadline heller. Det är deadlines hela vägen ner, och var och en av dem är förankrad i en bedömning som det intrångade företaget får fatta.

Så förseningen är inte inkompetens. Det är arkitektur.

Det andra tecknet är frasen som du kommer att se i nästan varje meddelande: "we have no evidence that your information has been misused." Läs det långsamt. Det är inte ett uttalande om huruvida dina data är säkra. Det är ett uttalande om vad företaget letade efter och inte hittade. Det är helt olika saker. En stulen autentiseringsuppgiftsdump kan ligga på ett forum i månader, köpas, testas mot ett dussin andra webbplatser och tömma ett konto som inte har något med det intrångade företaget att göra—och ingen av den aktiviteten syns i deras loggar. "No evidence of misuse" är företagets motsvarighet till "Jag såg inte någon ta det", uttalad av personen som såg åt något annat håll.

När meddelandet anländer har ditt mejl och lösenord redan haft en fullständig säsong på den öppna marknaden. Credential-stuffing är automatiserad och billig; listorna säljs vidare och kombineras ständigt. Intrångsbrevet är ett historiskt dokument.

Det är därför du bör behandla ursäktsmejlet som ett kvitto, inte en varning. Det skyddande draget hände redan—eller inte—flera veckor tidigare. De saker som faktiskt hjälper är tråkiga och väntar inte på någons juridiska avdelning: ett unikt lösenord per webbplats så ett läcka inte kan dominera, en lösenordshanterare så du faktiskt gör det, och tvåfaktorsautentisering med en app eller en maskinvarunyckel istället för SMS. Kontrollera din egen adress mot Have I Been Pwned närhelst du är nyfiken, inte när ett företag äntligen kommer runt till det.

Och när meddelandet väl anländer, motstå den kostnadsfria kreditövervakning de erbjuder som en fredsgåva. Det är ett år av att titta på en häst som lämnade lösdriften på våren. Skadan, om det kommer att bli någon, brukar springa på en snabbare klocka än den som juristerna satte. Brevet är bara att alla pappersarbeten äntligen kommer överens.

Arkivera det. Byt lösenord. Fortsätt. De gjorde det redan.