Μια απόφαση του Οκτωβρίου από το 4ο Εφετείο των ΗΠΑ στη Βιρτζίνια έχει — για άλλη μια φορά — αλλάξει τον υπολογισμό του κινδύνου των παραβιάσεων δεδομένων, διευκολύνοντας την ικανότητα των εναγόντων να επιτύχουν αγωγές κατά των παραβιασμένων εταιρειών σε περιορισμένες περιπτώσεις. Η υπόθεση αφορούσε μια παραβίαση δεδομένων μιας ασφαλιστικής εταιρείας που είχε ως αποτέλεσμα τη διαρροή των πληροφοριών άδειας οδήγησης σχεδόν 3 εκατομμυρίων πελατών. Μέχρι αυτή την απόφαση του εφετείου, τα περισσότερα δικαστήρια είχαν αποφανθεί ότι η κλοπή ορισμένων τύπων δεδομένων από μόνη της δεν είναι επαρκής για να αποδείξει ζημίες.
Δείτε επίσης: Η ΕΕ κατηγορεί Meta και TikTok για αποτυχία προστασίας παιδιών
Με τέτοια δεδομένα, οι ενάγοντες πρέπει να παρέχουν αποδείξεις πραγματικής ζημίας ή αποδείξεις πραγματικής απάτης, όπως έχουν αποφανθεί τα περισσότερα δικαστήρια. Ενώ η κλοπή ιδιωτικών δεδομένων, όπως ιατρικών αρχείων, έχει αυτόματα θεωρηθεί επιζήμια, τα περισσότερα δεδομένα που είναι διαθέσιμα από μια άδεια οδήγησης, για παράδειγμα, είναι δημόσια, με ακόμη και έναν αριθμό άδειας οδήγησης να μην είναι χρήσιμος για έναν απατεώνα, εκτός αν συνδυαστεί με άλλες πληροφορίες για να επιτρέψει την κλοπή ταυτότητας. Τα δικαστήρια έχουν αποφανθεί ότι οι ενάγοντες πρέπει να αποδείξουν ότι οι κλέφτες είχαν πράγματι πρόσβαση σε πολλαπλά κομμάτια πληροφοριών.
Το 4ο Εφετείο το χαλάρωσε αυτό, αποφασίζοντας ότι επειδή οι επιτιθέμενοι τοποθέτησαν τις πληροφορίες στο dark web, αυτό υποδηλώνει μεγαλύτερο κίνδυνο πραγματικής απάτης. Οι κλέφτες που είναι πρόθυμοι να πληρώσουν για τέτοια δεδομένα δεν θα ήταν πρόθυμοι να πληρώσουν αν δεν είχαν πρόσβαση σε άλλα δεδομένα για να ολοκληρώσουν την απατηλή δραστηριότητα. “Το dark web, ένα ανώνυμο δίκτυο για μη ρυθμιζόμενο περιεχόμενο και αγορές, δεν είναι μια παραδοσιακή μέθοδος επικοινωνίας πληροφοριών όπως μια εφημερίδα ή μια ραδιοφωνική εκπομπή,” αποφάσισαν οι δικαστές του 4ου Εφετείου.
“Αλλά, όχι ανόμοιο με το διαδίκτυο γενικότερα, είναι ένα φόρουμ προσβάσιμο σε όλους — ή τουλάχιστον σε αυτούς με κάποιο βαθμό επάρκειας με τους υπολογιστές. Οι πληροφορίες που αναφέρονται σε αυτό είτε φτάνουν, είτε είναι βέβαιο ότι θα φτάσουν, στο κοινό ή είναι κοντά στο να το κάνουν.” Επιπλέον, επειδή ένας από τους ενάγοντες ισχυρίστηκε ότι οι πληροφορίες βρέθηκαν προς πώληση στο dark web, αντί να δημοσιευθούν ανοιχτά, κάτι που θα περιόριζε την έκθεσή τους, οι δικαστές εξέτασαν αν η ύπαρξη ενός paywall θα έπρεπε να κάνει τη διαφορά όσον αφορά την απόδειξη της ζημίας και κατέληξαν στο ότι δεν το έκανε.
Δείτε ακόμα: UK: Η Apple χάνει τη δίκη για τις υπερβολικές χρεώσεις του App Store
“Δεν βλέπουμε γιατί αυτό θα έπρεπε να κάνει τη διαφορά. Ένα κλασικό παράδειγμα δημοσιότητας σε περιπτώσεις αδικοπραξίας δημόσιας αποκάλυψης είναι η αναφορά πληροφοριών σε μια εφημερίδα,” αποφάσισαν οι δικαστές του 4ου Εφετείου. “Ωστόσο, πολλές εφημερίδες είναι προσβάσιμες μόνο με πληρωμή, επίσης. Δεν βλέπουμε κανένα λόγο να αντιμετωπίσουμε το διαδίκτυο διαφορετικά. Είτε με paywall είτε όχι, οι πληροφορίες που αναφέρονται στο διαδίκτυο είναι συνήθως προσβάσιμες σε πολλούς.”
Οι δικηγόροι που παρακολουθούν την υπόθεση είπαν ότι υπάρχουν διάφορες επιπτώσεις για το τι πρέπει να κάνουν διαφορετικά οι CISOs δεδομένης της απόφασης του εφετείου. Ο σύμβουλος κυβερνοασφάλειας Brian Levine, πρώην ομοσπονδιακός εισαγγελέας που σήμερα υπηρετεί ως εκτελεστικός διευθυντής του FormerGov, ενός καταλόγου πρώην κυβερνητικών και στρατιωτικών ειδικών, είπε ότι αυτή η απόφαση “είναι ένας ακόμη λόγος για τον οποίο οι CISOs πρέπει να παρακολουθούν το dark web. Μπορεί να είναι μια πρώιμη προειδοποίηση ότι μπορεί να αντιμετωπίσουν μια αγωγή.”
Αυτές οι πληροφορίες στο dark web μπορεί επίσης να παρέχουν κρίσιμη καθοδήγηση για τους δικηγόρους που διαπραγματεύονται με τους ενάγοντες. Αν τα δεδομένα δεν είναι σίγουρα στο dark web, υπάρχει μεγαλύτερη πιθανότητα απόρριψης και επομένως μεγαλύτερη πιθανότητα να γίνει αποδεκτή μια χαμηλή προσφορά διακανονισμού. Αλλά αν τα δεδομένα εμφανίζονται στο dark web, αυτό αλλάζει γρήγορα.
Αυτή η απόφαση αναγκάζει επίσης τους CISOs να επανεκτιμήσουν πόσο οικονομικά εκτεθειμένη θα είναι η επιχείρηση σε περίπτωση παραβίασης, είπε ο Mark Rasch, πρώην ομοσπονδιακός εισαγγελέας που ειδικεύεται σε νομικά ζητήματα τεχνολογίας. Πριν από αυτή την απόφαση του 4ου Εφετείου, “πολλές επιχειρήσεις πίστευαν ότι μια παραβίαση δεδομένων μπορεί να μην είναι μεγάλο θέμα γιατί τα θύματα δεν μπορούν πραγματικά να αποδείξουν ζημία, οπότε δεν χρειάζεται να ανησυχούμε.”
Δείτε επίσης: Apple, Google και Meta σε δίκη για εφαρμογές τζόγου
Για να είμαστε σαφείς, η απόφαση του Εφετείου αφορούσε το αν οι ενάγοντες θα επιτρέπονταν να προχωρήσουν στην ανακάλυψη και σε άλλα πρώιμα στάδια της δικαστικής διαδικασίας. Ο Douglas Brush, ειδικός με τα ομοσπονδιακά δικαστήρια των ΗΠΑ, είπε ότι ένας κρίσιμος παράγοντας πίσω από αυτές τις νομικές αλλαγές είναι μια πλημμύρα αγωγών που ξεκινούν αμέσως όταν μια επιχείρηση ανακοινώνει μια παραβίαση, πολύ πριν γίνουν γνωστές ουσιαστικές λεπτομέρειες.
