En besked om et datalæk kan efterlade dig med flere spørgsmål end svar. Hvilke oplysninger er sluppet ud? Kan nogen få adgang til dine konti? Og hvad skal du gøre først? Svaret afhænger især af, hvilke data der er berørt, og hvordan de er blevet eksponeret.
En lækket e-mailadresse kræver andre forholdsregler end en stjålet adgangskode eller en offentliggjort patientjournal. Derfor begynder en god reaktion med at få overblik. Her får du en forklaring på, hvad et datalæk er, hvilke konsekvenser det kan have, og hvordan du begrænser skaden.
Hvad er et datalæk?
Et datalæk opstår, når oplysninger bliver tilgængelige for uvedkommende. Det kan ske gennem et hackerangreb, men også ved en menneskelig fejl, en forkert indstilling eller utilstrækkelig adgangskontrol.
Eksempelvis kan en medarbejder sende et regneark med kundeoplysninger til den forkerte modtager. En mappe med fortrolige dokumenter kan også blive delt via et åbent link, som flere end de tiltænkte modtagere kan bruge.
Begrebet bruges ofte om personoplysninger, men kan også omfatte forretningshemmeligheder og andre fortrolige data. I databeskyttelsesreglerne er et brud på persondatasikkerheden et bredere begreb: Det omfatter også hændelser, hvor personoplysninger går tabt, bliver ændret eller ødelagt.
Hvilke oplysninger er lækket?
Risikoen afhænger både af oplysningernes karakter og af, om de kan kombineres med andre data.
- E-mailadresse og telefonnummer: Kan bruges til uønskede henvendelser og målrettede svindelforsøg.
- Adgangskoder: Kan give adgang til den berørte konto og andre konti, hvis samme kode er genbrugt.
- Navn, adresse og CPR-nummer: Kan indgå i forsøg på identitetsmisbrug og gøre falske henvendelser mere overbevisende.
- Kortoplysninger: Kan, afhængigt af hvilke oplysninger der er lækket, medføre risiko for betalingsmisbrug.
- Helbredsoplysninger og private dokumenter: Kan skabe alvorlige privatlivsproblemer, selv uden økonomisk tab.
En adgangskode, der er beskyttet med en stærk kryptografisk hashfunktion, er vanskeligere at udnytte end en adgangskode gemt i læsbar form. Men som bruger kan du sjældent selv vurdere beskyttelsen. Følg derfor virksomhedens konkrete vejledning, og skift berørte adgangskoder.
Hvad skal du gøre efter et datalæk?
Kontrollér beskeden gennem en kendt kanal
Svindlere kan udnytte nyheder om datalæk til at sende falske advarsler. Åbn selv virksomhedens hjemmeside eller app frem for at følge et link i en uventet besked.
Se efter oplysninger om hændelsen, de berørte datatyper og anbefalede handlinger. Hvis beskeden er uklar, kan du kontakte virksomheden gennem dens officielle kontaktoplysninger. Udlever aldrig adgangskoder eller engangskoder til nogen, der tilbyder hjælp.
Beskyt de berørte konti
Er en adgangskode lækket, skal du ændre den. Har du brugt den samme kode andre steder, skal du også ændre den dér. Prioritér din e-mailkonto, fordi den ofte bruges til at nulstille adgang til andre tjenester.
Brug en unik adgangskode til hver konto. En adgangskodeadministrator kan hjælpe med at oprette og opbevare dem. Slå også flerfaktorgodkendelse til, hvor det er muligt. Det mindsker risikoen for, at en stjålet adgangskode alene giver adgang.
Kontrollér desuden kontoens aktive sessioner, gendannelsesoplysninger og seneste aktivitet. Log ukendte enheder ud, hvis tjenesten giver mulighed for det.
Reagér på tegn på misbrug
Hold øje med uventede betalinger, beskeder om nulstilling af adgangskoder og ændringer på dine konti. Kontakt banken hurtigt, hvis betalingsoplysninger kan være misbrugt. Banken kan vurdere, om et kort skal spærres.
Ved mistanke om identitetsmisbrug bør du gemme relevante beskeder og dokumentere hændelserne. En kreditadvarsel i CPR kan være relevant ved risiko for lån eller kredit i dit navn, men den beskytter ikke mod alle former for misbrug. Ved konkret svindel kan en politianmeldelse også være nødvendig.
Hvad skal virksomheden gøre?
En virksomhed skal først begrænse hændelsen: lukke utilsigtet adgang, sikre relevante spor og undersøge, hvilke oplysninger og personer der er berørt. En hurtig teknisk rettelse er ikke tilstrækkelig, hvis omfanget stadig er uklart.
Efter databeskyttelsesreglerne skal den dataansvarlige som udgangspunkt anmelde et brud på persondatasikkerheden til Datatilsynet uden unødig forsinkelse og om muligt inden 72 timer efter at være blevet bekendt med det. Anmeldelse er dog ikke påkrævet, hvis bruddet sandsynligvis ikke indebærer en risiko for fysiske personers rettigheder eller frihedsrettigheder.
Hvis bruddet sandsynligvis medfører en høj risiko for de berørte personer, skal de som udgangspunkt også underrettes uden unødig forsinkelse. Der findes undtagelser, og vurderingen afhænger af den konkrete hændelse.
God kommunikation forklarer, hvad der er sket, hvilke oplysninger der er berørt, og hvad modtageren bør gøre. Usikkerhed bør beskrives tydeligt.
Sådan mindsker du risikoen fremover
Du kan ikke styre sikkerheden hos alle de tjenester, du bruger. Men du kan begrænse følgerne af et fremtidigt datalæk ved at genbruge færre oplysninger og beskytte dine vigtigste konti.
Slet konti, du ikke længere har brug for, og overvej, om en tjeneste behøver alle de oplysninger, den efterspørger. Hold dine enheder opdaterede, og gennemgå jævnligt sikkerhedsindstillingerne på din e-mailkonto.
Når et datalæk rammer, er det vigtigste at handle ud fra de oplysninger, der faktisk er berørt. Få bekræftet hændelsen, beskyt udsatte konti, og reagér på konkrete tegn på misbrug. Det giver et bedre grundlag for at håndtere situationen, også mens virksomheden stadig undersøger den.