Ashley Madison: Databrud afslørede 36 millioner brugerkonti

Hackere offentliggjorde i 2015 data fra omkring 36 millioner Ashley Madison-konti. Myndigheder i Canada og Australien fandt utilstrækkelig sikkerhed, og operatøren betalte 1,6 mio. dollar i et amerikansk forlig.

Hvad skete der

I juli 2015 meddelte en gruppe, der kaldte sig "The Impact Team", at den havde hacket Avid Life Media, virksomheden bag Ashley Madison. I august 2015 offentliggjorde den data fra omkring 36 millioner brugerkonti, herunder profiloplysninger, e-mailadresser og nogle faktureringsoplysninger. En fælles undersøgelse foretaget af privatlivsmyndighederne i Canada og Australien fandt, at virksomheden manglede dokumenterede sikkerhedspolitikker, en proces for risikostyring og tilstrækkelig medarbejderuddannelse. Den brugte desuden fjernadgang med kun én faktor og opbevarede adgangskoder og nøgler i klartekst. Myndighederne kritiserede også, at virksomheden opbevarede data på ubestemt tid og tog betaling af brugerne for at slette dem. I december 2016 indgik operatørerne forlig i sager anlagt af den amerikanske Federal Trade Commission (FTC) og af delstater. De accepterede et sikkerhedsprogram og betalte 1,6 mio. dollar.

Hvad er dokumenteret

• Office of the Privacy Commissioner of Canada og den australske Information Commissioner: utilstrækkelige sikkerhedsforanstaltninger; overtrædelser af canadisk og australsk privatlivslovgivning; en compliance-aftale og en bindende tilsagnserklæring blev accepteret (august 2016).
• Samme rapport: berørte brugere modtog afpresningsmails efter lækagen.
• FTC: operatørerne indgik forlig om anklager om vildledende og urimelig sikkerhedspraksis, herunder at have opbevaret data fra brugere, der havde betalt 19 dollar for en "Full Delete"; i alt 1,6 mio. dollar betalt (december 2016).

Hvad er ikke fastslået

• Hvem der stod bag angrebet.
• Det fulde omfang af, hvad angriberne fik adgang til, fordi logfiler var slettet.

Hvad det betyder for dig

1. Tilmeld dig følsomme tjenester med en separat e-mailadresse, der ikke afslører dit navn.
2. Tjek, hvordan en tjeneste sletter dine data, før du tilmelder dig, og om sletning koster penge.
3. Hvis du modtager en afpresningsmail efter en lækage, så betal ikke; anmeld det til politiet.