Bank Hilang Data Akaun Anda? Inilah Apa yang Akan Dilakukan

Ilustrasi oleh Jashar AwanUntil awal Jun, AT & T mempunyai alat dalam talian yang membantu pemilik 3G iPad mendaftar untuk perkhidmatan Wi-Fi mudah alih: Pengguna menaip dalam nombor bersiri 19 digit untuk mereka Kad micro-SIM iPad, yang juga dikenali sebagai ICC-ID (pengecam kad litar bersepadu), dan laman web itu memulangkan alamat e-mel yang telah digunakan oleh pemilik untuk mengesahkan pendaftaran. AT & T menggunakan alamat e-mel untuk mengisi medan log masuk dalam borang pendaftaran Web.

Sekumpulan penyelidik yang disebut Goatse Security melihat cacat dalam alat ini, dan membuat skrip yang dihasilkan secara rawak dan menghantar nombor ICC-ID ke laman web ini. Mereka mendapat lebih daripada 114,000 alamat e-mel, termasuk Ketua Pegawai Eksekutif Gedung Putih Rahm Emanuel, Datuk Bandar New York Michael Bloomberg, dan pemilik iPad berprofil tinggi yang lain. Goatse Security tidak menghubungi AT & T terlebih dahulu, tetapi mereka menunggu sehingga syarikat menukar laman web tersebut sebelum memberikan alamat e-mel dan nombor siri ke editor Gawker.com, yang kemudiannya mendedahkan kecacatan.

Sekiranya kebocoran seperti ini sepele tertakluk kepada undang-undang pemberitahuan pelanggaran data semasa? Dan jika mereka patut, betapa seriusnya ancaman pencurian identiti apabila penyerang mendapat alamat e-mel dan nombor siri?

[Bacaan lanjut: Bagaimana untuk menghapuskan malware dari PC Windows]

Pelanggaran? Apa yang Melanggar?

Di bawah undang-undang semasa, AT & T tidak perlu mendedahkan pendedahan alamat e-mel atau nombor siri. Dorothy Attwood, ketua pegawai privasi AT & T, mendakwa dengan meminta maaf kepada pelanggan 3G iPad bahawa Goatse "dengan sengaja berusaha keras dengan program rawak untuk mengekstrak ID ICC yang mungkin dan menangkap alamat e-mel pelanggan." Attwood juga menegaskan bahawa Laman Web AT & T tidak membawa langsung kepada maklumat kewangan atau peribadi.

Walaupun alamat e-mel yang terdedah mungkin menarik lebih banyak spam, ICC-ID itu sendiri tidak berguna. Bagaimanapun, bercakap di SOURCE Boston pada bulan April, Nick DePetrillo dan Don A. Bailey menunjukkan bagaimana ID ICC seperti yang digunakan oleh AT & T boleh digunakan untuk meneka nombor IMSI (Nombor Pelanggan Bergerak Antarabangsa Pengenalan) yang lebih penting bagi setiap pemilik akaun. Walaupun ia khusus untuk menyerang rangkaian telefon mudah alih GSM, perbincangan DePetrillo dan Bailey (lihat PDF pembentangan mereka) menunjukkan bagaimana IMSI dapat membantu untuk mendedahkan identiti pemilik akaun dan maklumat lain.

Undang-undang Pemberitahuan

As April, 46 negeri dan tiga wilayah AS mempunyai undang-undang untuk pemberitahuan pengguna yang maklumatnya mungkin telah dikompromikan dalam pelanggaran data, menurut Persidangan Kebangsaan Dewan Undangan Negeri. (Tiada kebocoran khas untuk data kad SIM.) Alabama, Kentucky, New Mexico, dan South Dakota masih belum mempunyai undang-undang pemberitahuan pelanggaran data sedemikian. Tiada undang-undang notifikasi persekutuan yang wujud, tetapi mungkin ada dalam karya. Undang-undang persekutuan yang khusus untuk pelanggaran data penjagaan kesihatan (lihat PDF) menjadi kenyataan sebagai sebahagian daripada Akta Pemulihan dan Pelaburan Semula Amerika 2009.

Kebanyakan undang-undang negara mencerminkan undang-undang California 2003 SB1386, di mana "maklumat peribadi" ditakrifkan sebagai nama pertama dan terakhir, ditambah dengan gabungan nombor Keselamatan Sosial, lesen pemandu, nombor akaun, atau nombor kad kredit atau debit dengan kata laluan atau kod keselamatan. Kebocoran data peribadi yang tidak diperintahkan mestilah didedahkan kecuali di bawah pengawasan penguatkuasaan undang-undang (di mana pendedahan boleh ditangguhkan). Data yang disulitkan adalah dikecualikan.

A revisi yang belum selesai 2010 untuk undang-undang California, SB1166, termasuk penambahbaikan yang dibuat oleh negara-negara lain, seperti perihalan peristiwa pelanggaran data dalam surat pemberitahuan, satu salinan yang mesti pergi ke Pejabat Peguam Negara

Lengan Sendiri

Walaupun undang-undang sedang bermain tangkapan, pengguna boleh mengambil tindakan untuk diri mereka sendiri. Suruhanjaya Perdagangan Persekutuan mempunyai laman bermaklumat yang menceritakan bagaimana untuk menjaga pencurian identiti, serta langkah-langkah yang perlu diambil jika anda menjadi mangsa.

Di samping itu, Akta Transaksi Kredit yang Adil dan Ketepatan 2003 membolehkan pengguna mendapatkan satu laporan kredit percuma dari setiap tiga biro kredit setiap tahun. Pakar menasihati menulis ke biro kredit yang berbeza setiap empat bulan supaya sepanjang tahun anda memperoleh ketiga-tiga laporan tersebut. Kadang-kadang ketiga-tiga laporan itu mempunyai percanggahan; FACTA memudahkan pengguna menyelesaikan kesilapan.

FACTA memperkenalkan beberapa alat kredit pengguna juga. Salah satu adalah amaran penipuan yang memerlukan sesiapa sahaja membuat pertanyaan atau menukar laporan kredit anda untuk menghubungi anda terlebih dahulu. Permintaan untuk berjaga-jaga perlu dikemaskini setiap 90 hari; Jika anda telah menjadi mangsa pencurian identiti, anda boleh memfailkan laporan polis dan mendapatkan amaran penipuan yang lanjutan yang baik selama tujuh tahun.

Kredit membekukan, langkah yang lebih drastik, menghalang sesiapa pun daripada mengakses laporan kredit anda tanpa anda unfreezing ia. Terdapat bayaran untuk membekukan dan melepaskan laporan kredit anda; sesetengah negeri mengetepikan kos membekukan jika anda telah menjadi mangsa pencurian identiti dan boleh mendokumentasikan peristiwa tersebut. Laman web FTC mempunyai maklumat bagaimana untuk mendapatkan makluman dan membeku.

Neither tool menghalang anda daripada mendapatkan salinan kredit percuma laporan anda. Syarikat gadai janji dan yang lain yang kini menjalankan perniagaan dengan anda mengekalkan akses kepada sejarah kredit anda; hanya pertanyaan baru yang dihentikan sejuk. Langkah-langkah ini tidak akan menghalang pencurian identiti yang berterusan, dan tidak akan menghalang penciptaan akaun baru, kerana beberapa akaun baru tidak memerlukan pemeriksaan kredit.

Walaupun alat dan undang-undang ini direka untuk menangani pelanggaran data yang berkaitan dengan kredit, data peribadi kini bocor dalam bentuk baru dan berbeza. Jika penjenayah dapat menebak bagaimana operator mudah alih mengaitkan maklumat akaun pengguna dengan nombor siri, maka mungkin definisi baru dan lebih baik tentang apa yang layak sebagai pelanggaran data diperlukan. Pelajaran di sini adalah bahawa tiada kebocoran terlalu kecil untuk menyebabkan sakit kepala utama kemudian