Секретный playbook для пиарщика от белого хакера
Знаете то чувство, когда находишь «своего человека» в индустрии и думаешь: о, будто я сама это написала?
Внезапный мэтч у меня случился с бельгийским ресерчером и этичным хакером Inti De Ceukelaire. Но это не то, что вы подумали🤣 В разборе утечки данных 850 000 абонентов бельгийского филиала телеком-гиганта Orange Telecom он вдрызг разнес антикризис компании и призвал ее к ответственности. Ну наш слоняра!
Блог начинается с дисклеймера, мол как же неприятно писать эту статью и вдохновлять пиарщиков заметать сор под ковёр, но кто-то должен называть вещи своими именами. Да, брат, да!! 😈
Бренды типа Orange занижают значимость инцидентов кибербезопасности
— пишет автор, который сам стал жертвой утечки.
21 августа он получил письмо от Orange Telecom: его данные могут быть среди похищенных. Сначала ресерчера порадовало поведение компании и ссылка на специальный лэндинг. Но радость сменилась праведным гневом: лэндинг оказался PR-буллшитом, цель которого — ввести СМИ и клиентов в заблуждение, негодует он.
Как не надо делать на примере кейса Oracle я уже писала. А это — свеженький анти-playbook по PR от белого хакера. Зацените:
📌 Фокусируемся на том, чего «не произошло». То есть перечисляем, какие данные НЕ утекли. О том, что реально похищено — молчим, но намекаем, что хакер всё же получил доступ к одной там из наших систем. На этом всё.
📌 Двусмысленные заголовки. «Orange информирует клиентов о кибератаке» — пишем в третьем лице с акцентом на слове «информирует», что звучит позитивно, никаких тебе "нас атаковали" или "взломали".
📌 Незаметно правим опубликованные данные. В в 12:00 пишем «нет доказательств, что данные утекли», потом убираем это со страницы в 16:30, а на следующий день возвращаем обратно. Вдруг никто не заметит?
📌 Побольше эвфемизмов! «Кибератака» вместо «утечки данных», поскольку второе чревато вниманием регулятора. Что такое «критичные данные» Orange определяет сама по принципу, что не утекло — то и важно, e-mail, например. А вот SIM- и PUK-коды, которые реально опасны при SIM-свапе, почему-то не важны.
📌 Не даем деталей. Классическая мантра о нераскрытии, поскольку идет расследование и "нужно сохранить приватность". По факту — это уход от ответственности.
📌 Не извиняемся. Пользователям рассказывают, как им самим себя защитить, но не признают неудобств и рисков, созданных компанией, да и к чему эти все извинения?
Финал очень "европейский" — прям с чашечкой кофейку на площади Брюсселя:
Взломы бывают даже у лучших, но общество должно требовать честности и ответственности от компаний, допустивших утечку.
Ну и, чтобы жизнь провайдеру не казалась апельсиновым соком, он обещает подать жалобу в бельгийский орган по защите персональных данных и потребовать полной прозрачности от компании.
Ну красавчик! Всем бы такой уровень социальной ответственности.
Как вам анти-playbook? Забираем?
#антикризис #кибербез