Nie stwierdzono wycieku. Co właściwie mówi taki komunikat?

1 października 2026 Fakturownia doprecyzowała komunikat o incydencie: osoba nieuprawniona skopiowała dużą część bazy na własne serwery. Wcześniejszy komunikat z 29 września mówił o dostępie i ustalaniu zakresu. Obie wersje firma zachowała na jednej stronie. Warto je przeczytać obok siebie.

Tytułowe „nie stwierdzono wycieku” traktuję tutaj jako przykład rodzaju komunikatu, nie cytat przypisany Fakturowni. Problem zaczyna się wtedy, gdy informację o dotychczasowych ustaleniach czytamy jak gwarancję, że nic się nie wydarzyło.

Co zmienia jeden czasownik

Wejście do systemu, możliwość odczytu i skopiowanie danych opisują różne rzeczy. Firma może potwierdzić pierwszą, nadal badając pozostałe. Może też ustalić kradzież określonego zbioru bez wiedzy o wszystkich działaniach sprawcy.

W aktualizacji Fakturowni zakres zależy od rodzaju informacji i okresu, z którego pochodzą. Nie wystarcza więc pytanie, czy konto „jest w wycieku”. Trzeba ustalić, które dane tego konta obejmuje komunikat. To nadal ustalenia przedstawione przez firmę, a nie niezależny raport, który sam zweryfikowałem.

Gdy czytam taką aktualizację, wracam do wcześniejszej wiadomości. Czy nowe ustalenie zastępuje poprzednie? Czy dotyczy innego zbioru? Czy firma jasno zaznaczyła zmianę? Zostawienie starszej wersji jest przydatne: pozwala zobaczyć, co naprawdę dopisano, zamiast odtwarzać historię z cudzych nagłówków.

Okta szukała w niewłaściwych zdarzeniach

W raporcie z 3 listopada 2023 Okta opisała dostęp do plików związanych ze zgłoszeniami 134 klientów. Przyznała też, że przez 14 dni dochodzenia nie rozpoznawała podejrzanych pobrań w logach. Otwieranie załącznika ze zgłoszenia i dostęp przez zakładkę plików tworzyły różne zdarzenia. Początkowa analiza koncentrowała się na tych pierwszych.

To szczegół ważniejszy niż zapewnienie o trwającym dochodzeniu. Logi istniały, ale sposób ich przeszukiwania nie obejmował właściwego śladu. Według firmy dopiero dodatkowy wskaźnik przekazany przez BeyondTrust pomógł znaleźć kolejne zdarzenia.

Nie wyciągam z tego wniosku, że każda firma źle analizuje logi. Wyciągam skromniejszy: „nie znaleźliśmy” zależy od tego, czego i gdzie szukano. Komunikat rzadko pozwala czytelnikowi ocenić pełne pokrycie telemetrii.

Drugi zbiór, inna skala

29 listopada Okta poinformowała o pobranym raporcie zawierającym nazwiska i adresy email wszystkich użytkowników objętego incydentem systemu wsparcia. Opisała wyłączenia dotyczące oddzielnych środowisk. Nowe ustalenie wiązała z ponownym odtworzeniem raportu: usunięcie filtrów dawało plik lepiej odpowiadający rozmiarowi zarejestrowanego pobrania.

Nie należy zamieniać tego w zdanie, że wcześniej wyciekły dane „tylko 134 osób”, a później „wszystkich”. Pierwsza liczba dotyczyła klientów, których pliki otwarto. Późniejsza informacja dotyczyła danych użytkowników systemu wsparcia w raporcie. Różnią się jednostka i zbiór. W dossier o wyciekach właśnie dlatego nie sumuję nagłówków do jednego licznika poszkodowanych.

Jak czytać wiadomość, która dotyczy ciebie

Najpierw znajdź datę aktualizacji i nazwę zaatakowanego systemu. Następnie pola danych, których dotyczy ustalenie. Dopiero z tego wynika, czy potrzebujesz zmiany hasła, unieważnienia sesji, czy ostrożności wobec wiadomości wykorzystujących ujawnione informacje. Nie każdą kradzież danych da się naprawić zmianą hasła.

Brak dowodów kopiowania nie upoważnia mnie do ogłoszenia kradzieży. Nie daje też podstaw do zapewnienia czytelnika, że dane na pewno zostały na miejscu. Dopóki źródło tego nie rozstrzyga, w tekście zostaje niewiadoma. Wolę wrócić do niej po aktualizacji niż produkować pewność wcześniej niż ludzie badający incydent.

Źródła

• Fakturownia: komunikat o incydencie i zachowane aktualizacje
• Okta: raport z 3 listopada 2023
• Okta: dodatkowe ustalenia z 29 listopada 2023

Zdjęcie ilustracyjne: Wesley Tingey / Unsplash.