Le normative sulla privacy possono causare violazioni dei dati oltre alla protezione

Image Source

La legislazione sulla privacy si è ampliata significativamente negli ultimi due anni con la pubblicazione e l'applicazione del Regolamento generale sulla privacy dei dati (GDPR) dell'UE. A gennaio 2020, entrerà in vigore in California il California Consumer Privacy Act (CCPA), con requisiti simili al GDPR. Altri stati, tra cui Texas, New York, Washington e Massachusetts, stanno seguendo l'esempio. La legislazione sulla privacy dell'UE e della California cerca di proteggere i nostri dati privati garantendo determinati diritti. Questi diritti consentono di gestire i dati che le aziende detengono su di noi tramite "Richieste sulla privacy dei dati". Queste richieste possono includere, a titolo esemplificativo ma non esaustivo, il diritto delle aziende a:

• dimenticare i miei dati privati;
• correggere i miei dati privati;
• vietare la vendita dei miei dati privati; e, cosa importante,
• richiedi un'attività forniscimi i miei dati privati.

Purtroppo, le aziende non si sono preparate adeguatamente a queste richieste. In tutto il mondo, le aziende si stanno affrettando a soddisfare le richieste di riservatezza dei dati GDPR presentate dai residenti dell'UE. Le aziende statunitensi con dati privati di cittadini californiani si stanno affrettando a predisporre procedure per soddisfare le richieste di riservatezza dei dati dei residenti della California a partire dal 1° gennaio 2020.

Non sarebbe ironico se la prossima ondata di violazioni della privacy derivasse da richieste di riservatezza dei dati presentate da hacker ai sensi di queste leggi? Questo è proprio il problema che CyberHoot riscontra in queste leggi. Le aziende non hanno ancora sviluppato solide procedure multifattoriali per le "richieste di riservatezza dei dati" che verifichino l'identità di ciascun richiedente!

Un cavallo chiamato "Black Irony" ha lasciato la stalla

Sorpresa, sorpresa, un ricercatore britannico di nome James Pavur ha riferito in questo briefing di Black Hat nell'agosto 2019 che, dopo aver effettuato 150 "richieste di privacy dei dati" per i dati privati ​​di sua moglie, le aziende gli hanno inviato i suoi dati:

• Numero di Social Security;
• indirizzi di residenza attuali e precedenti;
• numeri di carte di credito;
• voti scolastici;
• Registri dell'hotel; e
• se utilizzava o meno determinati siti di incontri.

È importante sottolineare che Pavur non ha falsificato alcun documento, firma o indirizzo email. Ha utilizzato le sue credenziali, la sua firma e il suo account email in ogni caso per richiedere questi documenti. Le aziende semplicemente non hanno verificato la sua identità. Ora, immaginate cosa potrebbe fare un hacker che falsifica firme, documenti e viola il vostro account email? CyberHoot ha alcune previsioni per voi.

Previsioni/suggerimenti sulla normativa sulla privacy per le aziende:

• Gli hacker sfrutteranno le normative sulla privacy attraverso meccanismi di verifica deboli per rubare i dati più privati che tali azioni dovrebbero proteggere.
• Sebbene il CCPA sia consapevole delle difficoltà di verifica e prometta di pubblicare chiarimenti su cosa costituisca una richiesta verificabile tramite il Procuratore Generale (AG) della CA, le aziende non possono permettersi di aspettare. Le aziende dovrebbero predisporre le proprie misure di verifica, possibilmente seguendo le misure adottate dal settore bancario (vedi sotto), per prepararsi in tempo per il 1° gennaio 2020.
• Le banche hanno un processo di verifica ben definito. Quando CyberHoot chiama la sua banca, l'IVR chiede il numero di carta a 16 cifre.basta parlare con un agente.  L'agente della banca invia quindi un codice di 4-6 cifre al dispositivo mobile di CyberHoot per richiedere un secondo fattore di verifica della nostra identità (qualcosa che sappiamo e qualcosa che possediamo).
  • Le aziende farebbero bene ad adottare misure simili di autenticazione a due fattori per tutte le richieste di dati riservati.
• Alcune aziende con cui CyberHoot collabora non raccolgono i dati necessari (numeri di conto, indirizzi email e/o numeri di cellulare) per verificare correttamente l'identità di un individuo. Si auspica che l'AG della CA esenti queste aziende dall'adempimento delle richieste relative alla privacy dei dati, anziché obbligarle a raccoglierli. più dei nostri dati privati solo per ottemperare a queste richieste sulla privacy dei dati.

Cosa potrebbero fare i cittadini privati per proteggersi?

• Contatta le aziende che detengono i tuoi dati critici e sensibili e chiedi come verificheranno la tua identità per tali richieste. Informali che l'email è non abbastanza e che devono identificarti tramite un sistema a due fattori, proprio come fanno le banche.
• Anche se si tratta di un'ipotesi estrema, chiediti se non sia giunto il momento di eliminare i dati di ricerca e dei social media utilizzando gli strumenti e i processi esistenti.
  • Google – come eliminare la cronologia delle ricerche
  • Bing – Elimina la cronologia delle mie ricerche
  • Come eliminare completamente Facebook dalla tua vita

CyberHoot non sta suggerendo che Google e Facebook saranno facilmente ingannati e indotti a rivelare i vostri dati privati. Tuttavia, altre aziende che possiedono i vostri dati non sono ancora pronte a gestire queste richieste. CyberHoot sfida le aziende a creare processi di verifica sicuri prima che gli hacker vi sfruttino in questo modo nuovo e terribilmente ironico.

Autore, Craig, co-fondatore – CyberHoot

Stai facendo abbastanza per proteggere la tua attività?

Iscriviti oggi a CyberHoot e dormi meglio sapendo il tuo

i dipendenti sono formati in materia informatica e sono sempre in guardia!

Iscriviti Oggi!