Det der skete
Foto: Riccardo Retez på Unsplash
Weekendens hackerangreb mod Københavns Universitet ramte 525.000 personer, og universitetet lukkede straks adgangen til kritiske systemer, skriver Computerworld. Dagen efter viste omfanget sig større end første melding: Tusindvis af koder til medarbejderes og studerendes ID-kort var kompromitteret, og 20.000 personer fik nye PIN-koder, oplyser Version2. Og hos Novo afslørede Ingeniøren det hemmelige kartotek over sundhedspersoner, fordi journalist Mats Magnussen skrev direkte til hackergruppen FulcrumSec og fik dataene leveret og efterprøvet, som han selv lægger åbent.
Hvad det betyder for dig
De to sager tegner ét mønster, som ingen af dem viser alene: stjålet data er blevet journalistisk kilde. Medierne opsøger hackergrupper direkte, verificerer materialet og offentliggør det. Din datalæk er ikke længere en fortrolig compliance-hændelse mellem dig og Datatilsynet; den er en nyhedshistorie med udefra kommende dokumentation, du ikke kontrollerer.
Konsekvensen er, at din læk-kommunikation kører efter to ure nu. Datatilsynets frister er det langsomme ur. Mediedækningen er det hurtige: en redaktion kan sidde med verificerede data om dine kunder, mens din egen tekniske gennemgang står i startgabet. KU’s fakta dryppede i etaper efter første pressemeddelelse, og i en kommerciel virksomhed er det marketing, der står med kundekommunikationen, mens det sker. Som vi skrev om Novo-hacket og detektionstiden, var det selve problemet, at angriberne havde måneder ubemærket. Nu tilføjes en ny fase, hvor du heller ikke efter offentliggørelsen er eneste kilde til, hvad der reelt er sket.
Tre ting du skal have på plads
Kend dine datastrukturer, før uheldet sker. Kommentarfeltet til Ingeniøren-sagen spørger allerede: er det individdata om læger og sygeplejersker, eller data om klinikker? Kan du ikke svare præcist på, hvilke felter der er stjålet, bliver din vildfarelse selv en del af historien, og hackerne den mest præcise kilde til dine egne kunder.
Byg planen på worst case: alt kan blive offentligt verificerbart. Hvis dit beredskab antager, at stjålne data sælges stille på darknet, er det skrevet til en verden, der er væk. Forudsætningen i dag er, at ethvert datasæt kan ende hos en redaktion med kildeverifikation.
Øv journalist-scenariet. Hvem svarer, når en journalist ringer med dokumentation, du ikke selv har gennemgået endnu? Svarmønstret er trinvise opdateringer: hvad vi ved nu, hvad vi afklarer, og hvornår vi vender tilbage. Det slår en perfekt første udtalelse, der forældes inden for dage, præcis som KU oplevede.
Hackernes nye leveringskanal er redaktionen. Det afgørende spørgsmål er derfor ikke, om din virksomhed rammes, men om din kommunikationsmaskine er bygget til en situation, hvor en anden part kender dine kundedata bedre end du gør.