Ashley Madison: Dataintrång exponerade 36 miljoner användarkonton

Hackare publicerade data från omkring 36 miljoner Ashley Madison-konton 2015. Tillsynsmyndigheter i Kanada och Australien fann otillräcklig säkerhet, och operatören betalade 1,6 miljoner dollar i en förlikning i USA.

Vad hände

I juli 2015 meddelade en grupp som kallade sig «The Impact Team» att den hade hackat Avid Life Media, bolaget bakom Ashley Madison. I augusti 2015 publicerade gruppen data från omkring 36 miljoner användarkonton, bland annat profiluppgifter, e-postadresser och viss faktureringsinformation. En gemensam utredning av integritetsmyndigheterna i Kanada och Australien visade att bolaget saknade dokumenterade säkerhetsrutiner, en process för riskhantering och tillräcklig utbildning av personalen. Det använde också fjärråtkomst med bara en faktor och lagrade lösenord och nycklar i klartext. Myndigheterna kritiserade också bolaget för att det sparade data på obestämd tid och tog betalt för att radera dem. I december 2016 förliktes operatörerna med den amerikanska handelskommissionen FTC och delstaterna. De gick med på ett säkerhetsprogram och betalade 1,6 miljoner dollar.

Vad är dokumenterat

• Office of the Privacy Commissioner of Canada och Australian Information Commissioner: otillräckliga skyddsåtgärder; överträdelser av kanadensisk och australisk dataskyddslagstiftning; ett efterlevnadsavtal och ett verkställbart åtagande godtogs (augusti 2016).
• Samma rapport: drabbade användare fick utpressningsmejl efter läckan.
• FTC: operatörerna förliktes efter anklagelser om vilseledande och otillbörlig säkerhetspraxis, bland annat att de behöll data från användare som hade betalat 19 dollar för «Full Delete»; sammanlagt 1,6 miljoner dollar betalades (december 2016).

Vad har inte fastställts

• Vem som låg bakom attacken.
• Hur mycket angriparna faktiskt hade tillgång till, eftersom loggarna raderades.

Vad detta betyder för dig

1. Registrera dig för känsliga tjänster med en separat e-postadress som inte avslöjar ditt namn.
2. Kontrollera hur en tjänst raderar dina data innan du registrerar dig, och om radering kostar pengar.
3. Om du får ett utpressningsmejl efter en läcka ska du inte betala; anmäl det till polisen.