Obavijest da je neka usluga pretrpjela curenje podataka lako izazove paniku, ali korisnije je prvo utvrditi koje su informacije stvarno zahvaćene. Nacionalni CERT preporučuje promjenu kompromitiranih vjerodajnica i pojačan oprez, dok pravila zaštite osobnih podataka daju korisnicima mogućnost da od voditelja obrade traže informacije o obradi. Reakcija treba ovisiti o vrsti izloženog podatka.
Lozinka traži najbržu reakciju
Ako je među kompromitiranim podacima lozinka, treba je promijeniti na toj usluzi. Ako je ista ili slična lozinka korištena drugdje, promjena se mora proširiti i na te račune. Najsigurnije je koristiti jedinstvene duge lozinke i upravitelj lozinki, umjesto malih varijacija iste riječi.
Višefaktorska autentifikacija dodaje drugi korak i može smanjiti posljedice ukradene lozinke. Ipak, ni ona ne štiti od svih prijevara, posebno ako korisnik sam odobri lažni zahtjev. Zato neočekivane prijave ili kodove treba tretirati kao signal za provjeru.
Kartice i financijski podaci imaju drugi rizik
Ako su izloženi podaci platne kartice ili se pojavi nepoznata transakcija, kontakt s bankom treba ostvariti putem službenog kanala. Banka može procijeniti treba li karticu blokirati ili zamijeniti. Ne treba vjerovati poruci koja se pojavi neposredno nakon incidenta i tvrdi da „pomaže“ uz traženje dodatnih podataka; napadači ponekad koriste vijest o curenju za novi phishing.
Kako prepoznati takvu poruku opisano je u članku Kako prepoznati phishing poruku. Posebnu pažnju zaslužuju pokušaji koji već znaju ime, adresu ili dio drugih podataka. Poznavanje osobnog podatka ne dokazuje identitet osobe koja vas kontaktira.
Tražite konkretne informacije, ne glasine
Korisnik može provjeriti službenu obavijest organizacije i tražiti pojašnjenje koje su kategorije podataka zahvaćene, kada se incident dogodio i koje mjere se preporučuju. U Hrvatskoj je Agencija za zaštitu osobnih podataka nadzorno tijelo za zaštitu osobnih podataka. Prava ispitanika i postupci ovise o okolnostima, pa nije dobro donositi zaključke samo iz objava na društvenim mrežama.
Ako sumnjate da organizacija nije pravilno postupila s vašim podacima, korisno je zadržati obavijesti i korespondenciju. Izfuro ima zasebnu stranicu za zahtjeve povezane s osobnim podacima koja se odnosi samo na podatke prikupljene na ovom portalu.
Praćenje je bolje od stalnog straha
Nakon incidenta razumno je neko vrijeme pažljivije pratiti prijave na račun, promjene kontaktnih podataka i financijske transakcije. Nije potrebno automatski mijenjati svaki dokument ako nema informacije da je kompromitiran. Reakcija treba biti proporcionalna: lozinka traži promjenu, kartica provjeru s bankom, identifikacijski podaci dodatnu pažnju na pokušaje lažnog predstavljanja.
Ako je incident zahvatio adresu e-pošte ili broj telefona, povećajte oprez prema ciljanim porukama koje koriste stvarne podatke. Takva poruka može biti uvjerljivija jer napadač zna ime usluge ili dio identiteta korisnika. Autentičnost se zato ne procjenjuje prema tome koliko detalja pošiljatelj zna, nego prema neovisnoj provjeri kanala i radnje koju traži. Posebno izbjegavajte slanje dodatnih podataka kao „potvrde“ identiteta nepoznatom kontaktu.
Curenje podataka nije moguće „poništiti“, ali njegove posljedice često se mogu ograničiti dobrim redoslijedom poteza. Provjerite službenu informaciju, promijenite kompromitirane vjerodajnice, uključite dodatnu zaštitu i budite oprezni prema naknadnim porukama koje koriste incident kao izgovor za traženje još podataka.
