Ashley Madison: Innbrudd eksponerte 36 millioner brukerkontoer

Hackere publiserte data fra rundt 36 millioner Ashley Madison-kontoer i 2015. Tilsynsmyndigheter i Canada og Australia fant utilstrekkelig sikkerhet, og operatøren betalte 1,6 millioner dollar i et forlik i USA.

Hva skjedde

I juli 2015 kunngjorde en gruppe som kalte seg «The Impact Team» at den hadde hacket Avid Life Media, selskapet bak Ashley Madison. I august 2015 publiserte gruppen data fra rundt 36 millioner brukerkontoer, blant annet profilopplysninger, e-postadresser og noe faktureringsinformasjon. En felles undersøkelse fra personvernmyndighetene i Canada og Australia fant at selskapet manglet dokumenterte sikkerhetsrutiner, en prosess for risikostyring og tilstrekkelig opplæring av ansatte. Det brukte også fjerntilgang med bare én faktor og lagret passord og nøkler i klartekst. Myndighetene kritiserte også selskapet for å beholde data på ubestemt tid og ta betalt for å slette dem. I desember 2016 inngikk operatørene forlik med den amerikanske handelskommisjonen FTC og delstatene. De gikk med på et sikkerhetsprogram og betalte 1,6 millioner dollar.

Hva er dokumentert

• Office of the Privacy Commissioner of Canada og Australian Information Commissioner: utilstrekkelige sikkerhetstiltak; brudd på kanadisk og australsk personvernlovgivning; en etterlevelsesavtale og en håndhevbar forpliktelse ble godtatt (august 2016).
• Samme rapport: berørte brukere fikk utpressings-e-poster etter lekkasjen.
• FTC: operatørene forliknet etter anklager om villedende og urimelig sikkerhetspraksis, blant annet at de beholdt data fra brukere som hadde betalt 19 dollar for «Full Delete»; til sammen 1,6 millioner dollar betalt (desember 2016).

Hva er ikke fastslått

• Hvem som sto bak angrepet.
• Hvor mye angriperne faktisk hadde tilgang til, fordi loggene var slettet.

Hva dette betyr for deg

1. Registrer deg på sensitive tjenester med en egen e-postadresse som ikke avslører navnet ditt.
2. Sjekk hvordan en tjeneste sletter dataene dine før du registrerer deg, og om sletting koster penger.
3. Hvis du får en utpressings-e-post etter en lekkasje, ikke betal; meld det til politiet.