E-postpersonvern handler ikke om å være paranoid — det handler om å være gjennomtenkt. E-postadressen din er en av de mest delte bitene med personlig informasjon på nettet, og noen få konsekvente vaner utgjør en reell forskjell i hvor mye av informasjonen din som ender opp i feil hender. Dette er ikke en teknisk veiledning for sikkerhetsforskere. Det er praktiske råd til alle som bruker e-post, skrevet i håp om at i det minste noen av disse vanene fester seg.

Ifølge Statistas e-poststatistikk sendes det milliarder av søppelpost-e-poster hver eneste dag — og de fleste av dem når frem til folks innbokser fordi e-postadressene deres havnet på lister de aldri samtykket til. Å forstå hvordan det skjer er det første steget til å forhindre det. Den gode nyheten er at de mest effektive beskyttelsene også er de enkleste å gjennomføre.

Forstå hva du beskytter og hvorfor

E-postadressen din er identitetsankeret ditt på nettet. Hver "glemt passord"-prosess går gjennom den. Tofaktorautentiseringskoder ankommer der. Kontovarsler, kontoutskrifter, offentlig korrespondanse, journaler — alt er knyttet til innboksen din. Dette er ikke abstrakt: hvis noen får tilgang til den primære e-postkontoen din, har de i praksis nøklene til det meste av det digitale livet ditt. De kan tilbakestille passord på de andre kontoene dine, fange opp bekreftelseskoder og utgi seg for å være deg overfor personer og institusjoner som stoler på e-post som bevis på identitet.

Den virkeligheten bør prege hvor nøye du deler adressen din. De fleste behandler e-postadressen sin som noe de deler ut fritt — hvert registreringsskjema, hvert nyhetsbrev, hver konkurransedeltakelse. Men hver gang du deler den, legger du til enda en oppføring i enda en database, og hver av disse databasene er et potensielt mål for datainnbrudd. Jo flere steder e-posten din finnes, jo flere muligheter er det for at den ender opp et sted du ikke hadde til hensikt.

Electronic Frontier Foundation har fremhevet dette poenget i årevis: e-posten din er ryggraden i din digitale identitet. Å behandle den med samme omhu som du ville gitt et telefonnummer eller en hjemmeadresse, er ikke overdrevet — det står i forhold til hvor mye skade en kompromittering kan forårsake.

Bruk forskjellige e-postadresser til forskjellige formål

Den enkeltvis mest virkningsfulle vanen du kan ta til deg, er e-postsegmentering — å bruke forskjellige adresser til forskjellige kategorier av aktivitet. Tenk på det som en oppdeling i rom for det digitale livet ditt. Hvis ett rom blir rammet av et datainnbrudd, forblir de andre trygge. Her er en praktisk trelagstilnærming som fungerer godt for de fleste:

Nivå 1 — Primær e-post: Denne er til bankforretninger, offentlige tjenester, helsevesen, reisebestillinger, arbeidsgiveren din og alt som sender virkelig viktig kommunikasjon. Denne adressen bør deles med så få tjenester som overhodet menneskelig mulig. Det er adressen som er knyttet til de mest sensitive kontoene dine, og å beskytte den betyr å holde den utenfor så mange databaser som mulig.

Nivå 2 — Sekundær e-post: Denne er til vanlig netthandel, app-abonnementer, sosiale medier, tjenester du bruker ukentlig. Det er fortsatt en ekte adresse som tilhører deg, men den er atskilt fra Nivå 1. Hvis denne adressen dukker opp i et datainnbrudd — noe som er sannsynlig over tid, gitt hvor mange tjenester du deler den med — sprer ikke skaden seg til bank- og myndighetskontoene dine. Du bytter den sekundære adressen og går videre. Den primære adressen din forblir urørt.

Nivå 3 — Midlertidig e-post: Denne er til engangsregistreringer, gratis prøveperioder, nedlasting av låst innhold, utviklertesting og alt der du ikke trenger løpende kommunikasjon. Til alt i dette nivået tar en midlertidig e-post fem sekunder og holder den primære adressen din helt utenfor ligningen. Adressen eksisterer i en time, håndterer det du trengte den til, og forsvinner deretter. Ingen oppfølgings-e-poster, ingen markedsføringskampanjer, ingen data å bli rammet av et datainnbrudd.

Aktiver tofaktorautentisering på e-postkontoen din

Dette er den enkeltvis mest virkningsfulle sikkerhetshandlingen du kan foreta. Tofaktorautentisering betyr at selv om noen får tak i passordet ditt — gjennom et datainnbrudd, phishing eller brute force — kan de fortsatt ikke få tilgang til kontoen din uten den andre faktoren. Det forvandler e-posten din fra et enkelt feilpunkt til noe som er meningsfullt vanskeligere å kompromittere.

Bruk en autentiseringsapp fremfor SMS der det er mulig. SIM-bytte — der en angriper overbeviser mobiloperatøren din om å overføre telefonnummeret ditt til deres SIM-kort — er en reell og dokumentert angrepsvektor. Autentiseringsapper som Google Authenticator, Authy eller Microsoft Authenticator genererer koder lokalt på enheten din og er ikke sårbare for SIM-bytte. Hvis e-postleverandøren din støtter maskinvarebaserte sikkerhetsnøkler, er det enda bedre.

Grunnen til at dette betyr noe spesifikt for e-post — mer enn for nesten enhver annen konto — er at e-post er gjenopprettingsmekanismen for alt annet. Hvis noen kompromitterer kontoen din på sosiale medier, gjenoppretter du den via e-post. Hvis noen kommer inn på handlekontoen din, går passordtilbakestillingen til e-post. E-postkontoen din er hovednøkkelen. Å beskytte den med tofaktorautentisering er ikke valgfritt hvis du i det hele tatt bryr deg om sikkerhet.

Bruk et sterkt, unikt passord

Gjenbruk aldri e-postpassordet ditt noe sted. Dette er det mest gjentatte sikkerhetsrådet som finnes, og det gjentas fordi folk fortsetter å ignorere det. Hvis det samme passordet dukker opp på en annen tjeneste som blir rammet av et datainnbrudd, vil angripere prøve det på e-postkontoen din umiddelbart. Dette kalles credential stuffing, og det er en av de vanligste angrepsmetodene i bruk i dag. Automatiserte verktøy prøver lekkede brukernavn-passord-par mot tusenvis av tjenester innen timer etter at et datainnbrudd blir offentlig.

Have I Been Pwned — laget av sikkerhetsforskeren Troy Hunt — sporer milliarder av lekkede påloggingsopplysninger. Omfanget er svimlende: de fleste menneskers e-postadresser dukker opp i flere datainnbrudd. Hvis e-postpassordet ditt er det samme som passordet ditt på noen av disse rammede tjenestene, er e-postkontoen din i umiddelbar fare.

Bruk en passordbehandler. E-postpassordet ditt bør være det lengste, mest tilfeldige passordet du har — noe du umulig kunne huske, generert av en passordbehandler og lagret trygt. Du trenger bare å huske ett passord: det som låser opp passordbehandleren din. Alt annet bør være unikt og tilfeldig.

Sjekk eksponeringen din for datainnbrudd jevnlig

Have I Been Pwned lar deg sjekke om e-postadressen din har dukket opp i kjente datainnbrudd. Det er gratis, det er tillitsvekkende, og det tar omtrent ti sekunder. Du skriver inn e-postadressen din, og den forteller deg hvilke datainnbrudd den har dukket opp i, hvilke data som ble eksponert, og når datainnbruddet fant sted.

Enda viktigere er at du kan sette opp gratis overvåking av datainnbrudd. Skriv inn e-postadressen din én gang, bekreft den, og tjenesten varsler deg automatisk hvis adressen din dukker opp i fremtidige datainnbrudd. Dette er reelt verdifullt — mange finner først ut om datainnbrudd måneder eller år etter at de skjer, og på det tidspunktet er skaden allerede skjedd. Tidlig varsling gir deg et vindu til å bytte passord og sikre kontoer før angripere kan utnytte datainnbruddet.

Når du finner e-posten din i et datainnbrudd, er reaksjonen grei: bytt passord på den rammede tjenesten umiddelbart, og hvis du brukte det samme passordet andre steder (noe du ikke burde ha gjort, men la oss være realistiske), så bytt det overalt. Aktiver tofaktorautentisering hvis du ikke allerede har gjort det. Sjekk kontoen din for enhver uautorisert aktivitet. Og vurder om du i det hele tatt fortsatt trenger en konto på den tjenesten.

Gjennomgå hvilke apper som har OAuth-tilgang til e-posten din

"Logg inn med Google" og lignende OAuth-prosesser er praktiske, men de gir applikasjoner ulike nivåer av tilgang til kontoen din. Noen apper får bare navnet og e-postadressen din, noe som er greit. Andre ber om tillatelse til å lese e-postene dine, få tilgang til kontaktene dine eller administrere kalenderen din — langt mer tillatelse enn de trenger for tjenesten de leverer. Du trykket raskt på "Tillat" under registreringsprosessen, og nå har en tredjepartsapp tilgang til innboksen din.

Gjennomgå de tilkoblede appene dine jevnlig. For Google-kontoer: gå til myaccount.google.com, deretter Sikkerhet, deretter "Tredjepartsapper med kontotilgang". Du vil sannsynligvis finne apper du hadde glemt, apper fra tjenester du ikke lenger bruker, og muligens apper du ikke gjenkjenner i det hele tatt. Tilbakekall tilgang for alt som faller inn i disse kategoriene. Dette tar fem minutter og er verdt å gjøre annenhver måned.

Prinsippet her er enkelt: minimer antallet tjenester som kan få tilgang til e-posten din. Hver app med tilgang er en ekstra angrepsflate. Hvis den appen blir rammet av et datainnbrudd, kan e-postdataene dine bli eksponert, selv om selve e-postkontoen din ikke ble kompromittert.

Meld deg av ordentlig — ikke bare filtrer

Å filtrere uønsket e-post skjuler problemet mens e-postlisten fortsetter å vokse. E-postadressen din forblir på selskapets liste og fortsetter å bli delt, solgt eller eksponert i datainnbrudd. Å melde seg av fjerner deg faktisk fra listen. Bruk avmeldingslenken nederst i markedsførings-e-poster — legitime avsendere er juridisk forpliktet til å etterkomme avmeldingsforespørsler innen ti dager i de fleste jurisdiksjoner. Dette er et FTC-krav i USA og er tilsvarende påbudt i henhold til GDPR i Den europeiske union.

For søppelpost fra avsendere du aldri abonnerte på i utgangspunktet, bruk e-postleverandørens "rapporter søppelpost"-knapp fremfor å bare slette meldingen. Å rapportere hjelper e-postleverandøren din med å forbedre søppelpostfiltreringen for alle og kan utløse tiltak mot avsenderen. Å bare slette søppelpost gjør ingenting for å forhindre fremtidige meldinger.

Vanen med midlertidig e-post

Før du registrerer deg for noe, still deg selv ett spørsmål: "Trenger jeg faktisk at dette kommer til den ekte innboksen min?" Hvis svaret er nei — og for et overraskende antall registreringer er det det — så bruk en midlertidig adresse i stedet. En prøveperiode for en tjeneste du vurderer, en engangsnedlasting, en webinarregistrering, et skjema som krever en e-post bare for å få tilgang til innhold, utviklertesting med nye kontoer — ingen av disse trenger den ekte e-postadressen din.

Vanen er enkel: åpne en midlertidig e-post-innboks, kopier adressen, bruk den til det du trenger, og lukk fanen. Innboksen og alt i den forsvinner automatisk etter en time. Ingen opprydding, ingen avmelding, ingen nye oppføringer i søppelpostmappen din. Den ekte adressen din var aldri involvert, så det er ingenting å administrere senere.

Denne vanen alene, brukt konsekvent, reduserer betydelig hvor mange steder den ekte e-postadressen din finnes. Færre oppføringer i færre databaser betyr færre muligheter for datainnbrudd. Det er en av de enkleste og mest effektive innboks-hygienepraksisene som finnes, og det koster ingenting — ikke penger, ikke tid, ikke bekvemmelighet. Fem sekunders oppsett sparer potensielt årevis med søppelpost.

Vurder e-postvideresending nøye

Å videresende all e-posten din til en tredjepartstjeneste betyr at e-postene dine passerer gjennom deres servere. For de fleste hverdagsbrukere er dette greit — bekvemmeligheten oppveier den teoretiske risikoen. Men vær oppmerksom på hva du dirigerer gjennom videresendingstjenesten. E-poster med passordtilbakestilling, tofaktorautentiseringskoder, finansielle varsler, fortrolige meldinger fra arbeidsgiveren eller advokaten din — alle disse reiser gjennom videresendingsleverandørens infrastruktur.

Hvis du bruker e-postvideresending, forstå hvilken tilgang du gir. Les videresendingstjenestens personvernerklæring. Sjekk om de krypterer e-post under transport og i hvile. Og vurder om de mest sensitive e-postene i livet ditt virkelig trenger å passere gjennom en ekstra tredjepart. For mange er direkte levering det enklere og tryggere valget for den primære e-posten deres.

Personvernfokuserte e-postleverandører

ProtonMail tilbyr ende-til-ende-kryptert e-post, noe som betyr at selv e-postleverandøren selv ikke kan lese meldingene dine. Til hverdagskommunikasjon — å bekrefte middagsplaner, motta leveringsvarsler, chatte med venner — er den nåværende e-postleverandøren din sannsynligvis fin. Men til sensitiv kommunikasjon — juridisk korrespondanse, finansielle drøftelser, medisinsk informasjon, alt du reelt vil holde privat — er en kryptert e-postleverandør verdt å vurdere seriøst.

GDPR gir også EU-borgere spesifikke rettigheter når det gjelder personopplysningene deres, inkludert retten til å be om sletting av e-postadressen sin og tilknyttede data fra enhver tjeneste som har den. Å forstå rettighetene dine i henhold til gjeldende personvernlovgivning er også en del av e-postpersonvern — å vite hva du kan be selskaper om å slette, og faktisk be om det, er en meningsfull form for beskyttelse.

Å sette det hele sammen

Ingen av disse praksisene krever teknisk ekspertise. Aktiver tofaktorautentisering — det er den største enkeltforbedringen. Bruk en passordbehandler med et unikt, langt passord til e-posten din. Sjekk eksponeringen din for datainnbrudd på Have I Been Pwned og sett opp overvåking. Gjennomgå de tilkoblede appene dine. Meld deg av lister du ikke leser. Og bruk en midlertidig e-postadresse til alt som ikke trenger å komme til den ekte innboksen din.

Electronic Frontier Foundation rammer inn personvern som en grunnleggende rettighet, ikke en luksus. Den innrammingen betyr noe, fordi den minner oss om at det å ta grep for å beskytte personopplysningene våre ikke er paranoia — det er det rimelige, proporsjonale svaret på hvordan internett faktisk fungerer i dag. E-postadressen din trenger ikke å være overalt. Med noen få konsekvente vaner trenger den ikke å være noe sted der den ikke reelt trenger å være.