Заява — це ще не витік
Багато опублікованих заяв повторно використовують старіші інциденти, складені з публічних джерел або вигадані, щоб тиском змусити організацію заплатити. Деякі заяви справжні. Завдання — швидко розрізнити їх і повідомити про це із зазначенням рівня довіри.
Працювати з тим, що є публічним
На підтвердження заяви автори зазвичай публікують опис, перелік файлів або невеликий фрагмент. Ми зберігаємо допис так, як його бачив би звичайний відвідувач, обчислюємо геш копії та працюємо лише з тим, що показано публічно. Ми не завантажуємо повні набори даних, не вступаємо до закритих груп і не контактуємо з автором заяви.
Порівнювати структуру, а не людей
Корисні запитання стосуються структури. Чи відповідають назви полів, формати та шаблони ідентифікаторів вашим системам? Чи узгоджуються дати записів із заявленим часом доступу? Чи містить опублікований фрагмент значення, яких ваші системи ніколи не створили б? Ці перевірки виконують щодо структур ваших даних, і ніхто не опрацьовує персональні дані з фрагмента.
Три можливі відповіді
Перевірка завершується одним із трьох висновків: узгоджується з вашими даними, не узгоджується з вашими даними або поки що не може бути оцінена. До кожного додаються причини, джерела та межі того, що було перевірено. Узгоджений результат не доводить витоку, а неузгоджений не доводить, що заява хибна.
Що відбувається далі
Якщо заява узгоджується, ваші команди реагування на інциденти та юристи самі вирішують, що робити, зокрема щодо будь-яких обов’язків повідомлення. Ми зберігаємо копії з гешами, щоб аналіз можна було перевірити пізніше. Ми ніколи не оголошуємо про витік публічно; результати надходять спочатку до постраждалої організації, а за потреби — до органів влади.