Email xin lỗi đến muộn có mục đích

Đây là con số nên khiến bạn bực mình: trong Báo cáo Điều tra Vụ Lộ lọt Dữ liệu năm 2024 của Verizon, những kẻ tấn công thường chỉ cần vài phút để phá vỡ một hộp thư, nhưng những người bảo vệ lại mất trung bình 55 ngày chỉ để vá những lỗ hổng đang bị khai thác. Năm mươi năm ngày. Gần hai tháng cửa mở rộng trong khi tài liệu còn đang chậm rì. Và đó là trước khi ai đó soạn thảo email cuối cùng sẽ đến hộp thư của bạn, bắt đầu bằng "Chúng tôi coi trọng quyền riêng tư của bạn."

Họ không coi trọng. Những gì họ coi trọng là luật pháp.

Hầu hết mọi người cho rằng thông báo lộ lọt chạy trên một đồng hồ nào đó tính bằng giờ, giống như cách chuông báo cháy hoạt động. Nhưng không phải vậy. Luật lộ lọt dữ liệu của California, Bộ Luật Dân sự 1798.82—ông tổ mà hầu hết các tiểu bang khác mô phỏng theo—yêu cầu công bố "trong thời gian khẩn trương nhất và không có sự chậm trễ không hợp lý." Nghe có vẻ cấp bách. Sau đó nó tạo ra khoảng trống cho "những nhu cầu chính danh của cơ quan thực thi pháp luật" và thời gian cần thiết "để xác định phạm vi vụ lộ lọt và khôi phục tính toàn vẹn hợp lý" của hệ thống. Dịch nôm na: miễn là bạn có thể lập luận rằng bạn vẫn đang điều tra, đồng hồ chưa thực sự bắt đầu.

Các quy tắc liên bang không chặt chẽ hơn nhiều ngoài các lĩnh vực cụ thể. Các vụ lộ lọt dữ liệu y tế theo HIPAA cho phép các thực thể bao phủ tối đa 60 ngày. Quy tắc mới của SEC cho các công ty đại chúng yêu cầu công bố trong vòng bốn ngày làm việc—nhưng chỉ sau khi công ty quyết định sự cố là "có trọng yếu," và xác định này không có thời hạn cứng. Đó là những thời hạn từ đầu đến cuối, và mỗi một trong số chúng đều gắn với một quyết định phán xét mà công ty bị lộ lọt được quyết định.

Vì vậy sự chậm trễ không phải là vô năng. Nó là kiến trúc.

Dấu hiệu thứ hai là cụm từ bạn sẽ thấy ở gần như mọi thông báo: "chúng tôi không có bằng chứng rằng thông tin của bạn đã bị sử dụng sai mục đích." Hãy đọc nó từ từ. Đó không phải là một tuyên bố về liệu dữ liệu của bạn có an toàn hay không. Đó là một tuyên bố về những gì công ty tìm kiếm và không tìm thấy. Đó là những điều hoàn toàn khác nhau. Một bộ thông tin xác thực bị đánh cắp có thể nằm trên một diễn đàn trong nhiều tháng, được mua, được kiểm tra chống lại tá lạ trang web khác, và thoát tài khoản không liên quan gì đến công ty bị lộ lọt—và không có hoạt động nào trong số đó xuất hiện trong nhật ký của họ. "Không có bằng chứng về việc sử dụng sai mục đích" là tương đương công ty của "Tôi không thấy ai lấy nó," được đưa ra bởi người đang nhìn sang hướng khác.

Khi thông báo đến, email và mật khẩu của bạn đã có một mùa đầy đủ trên thị trường mở. Credential-stuffing được tự động hóa và rẻ; các danh sách được bán lại và kết hợp liên tục. Bức thư lộ lọt là một tài liệu lịch sử.

Đó là lý do tại sao bạn nên coi email xin lỗi như một biên lai, không phải một cảnh báo. Biện pháp bảo vệ đã xảy ra—hoặc không—tuần lễ trước đó. Những điều thực sự hữu ích là tẻ nhạt và không chờ ai cả, bao gồm phòng pháp lý: mật khẩu duy nhất cho mỗi trang web để một vụ lộ lọt không thể lan truyền, trình quản lý mật khẩu để bạn thực sự làm điều đó, và xác thực hai yếu tố sử dụng một ứng dụng hoặc một khóa phần cứng thay vì SMS. Kiểm tra địa chỉ của bạn chống lại Have I Been Pwned bất cứ khi nào bạn tò mò, không phải khi một công ty cuối cùng sắp xếp để báo cho bạn biết.

Và khi thông báo đến, hãy chống lại việc giám sát tín dụng miễn phí mà họ buông lơi như một lời xin lỗi. Đó là một năm giám sát một con ngựa đã rời khỏi trang trại vào mùa xuân. Thiệt hại, nếu sẽ có bất kỳ thiệt hại nào, có xu hướng chạy trên đồng hồ nhanh hơn cái mà các luật sư đặt. Bức thư chỉ là tài liệu của mọi người cuối cùng đồng ý gặp nhau.

Lưu trữ nó. Thay đổi mật khẩu. Tiếp tục. Họ đã làm vậy.