أدرجت مجموعة إيفرست لبرامج الفدية شركة PwC على موقع الابتزاز الخاص بها، مما وضع واحدة من أكبر شبكات الخدمات المهنية في العالم تحت الأضواء. الادعاء غير مؤكد، ولم يثبت أن PwC فقدت أي بيانات. ومع ذلك، فإن ادعاء إيفرست بتعرض بيانات PwC للكشف هو تذكير مفيد بكيفية تأثير الاختراق لدى مستشار ما على أشخاص لم يتعاملوا قط مع المهاجم، أو حتى مع الشركة نفسها.

ما الذي تزعمه إيفرست بشأن PwC

وفقًا للمنافذ الأمنية التي تتابع الإدراج، تقول إيفرست إنها سرقت 590.69 غيغابايت من البيانات المرتبطة بشركة PwC. يقدّر أحد ملخصات الإدراج الحصيلة بـ108,426 ملفًا ويصف المواد بأنها سجلات موظفين وبيانات شخصية. وتذكر تغطيات أخرى سجلات الموارد البشرية ومواد تدريبية. ذهب منشور على LinkedIn يتداول الادعاء إلى أبعد من ذلك، مشيرًا إلى بيانات الموظفين والتدقيق، لكن هذا الوصف يأتي من تعليق على الادعاء وليس من أدلة موثقة.

التحفظ المهم هو أن أياً من هذا لم يتم تأكيده. أشار أحد النشرات الأمنية إلى أن الإدراج لم يكن مصحوبًا بعينات بيانات أو تفاصيل تقنية أو أدلة مستقلة. تُدرج مجموعات برامج الفدية الضحايا لخلق الضغط، والإدراج وحده لا يثبت أنه تم أخذ البيانات، أو أنها أصلية، أو أنها جاءت من أنظمة PwC كما يُزعم. وإلى أن تؤكد PwC وقوع حادث أو تظهر أدلة موثوقة، ينبغي للقراء التعامل مع الأرقام المذكورة أعلاه باعتبارها مزاعم.

لماذا تُعد المستشارات الخارجية أهدافًا جذابة للابتزاز

تحتفظ شركات الخدمات المهنية بقدر كبير من المعلومات التي تخص أشخاصًا آخرين. يتلقى المدققون والمستشارون ومستشارو الضرائب سجلات مالية وعقودًا وتفاصيل الموظفين ووثائق داخلية ليتمكنوا من أداء عملهم. غالبًا ما توجد هذه الملفات في مكان واحد، مما يجعل اختراقًا ناجحًا واحدًا ذا قيمة محتملة.

وهنا تكمن الفجوة بين مالك البيانات وحائزها. فقد لا تعلم الشركة التي تسلّم سجلات لمستشار أبدًا أن مهاجمًا بحوزته تلك السجلات ما لم يفصح المستشار عن ذلك. والأفراد أبعد من ذلك: فموظف تظهر تفاصيله في ملفات عميل ليس لديه أي علاقة مباشرة بالمستشار على الإطلاق.

هناك أيضًا تأثير الرافعة. نادرًا ما تعتمد فرق برامج الفدية الحديثة على التشفير وحده. فهي تسرق البيانات أولاً وتهدد بنشرها، وهي التكتيك الذي نشرحه في شرحنا حول الابتزاز المزدوج ببرامج الفدية. الشركة التي تخدم عملاء كثرًا حساسين لديها أسباب قوية لتجنب تسريب علني، والمهاجمون يعرفون ذلك. كما أن تسمية هدف بارز على موقع تسريب يجذب الانتباه، سواء صحّ الادعاء أم لا.

ما الذي ينبغي على العملاء والأفراد التحقق منه الآن

لا يوجد اختراق مؤكد للاستجابة له، لذا الهدف هو الاستعداد الهادئ وليس الذعر. هناك بعض الخطوات العملية التي تستحق اتخاذها:

  • راقب الإشعارات الرسمية. إذا أكدت PwC أو أي من مستشاريك وقوع حادث، فعادةً ما تصل الإشعارات عبر البريد الإلكتروني أو البريد العادي. اقرأها بعناية واحتفظ بنسخة منها.
  • تحقق قبل النقر. غالبًا ما تتسبب ادعاءات كهذه في تصيد احتيالي ينتحل صفة إشعار اختراق. انتقل مباشرة إلى الموقع الرسمي للمؤسسة بدلاً من اتباع الروابط في رسائل غير متوقعة.
  • اسأل جهات اتصالك الخاصة. إذا كانت شركتك تتعامل مع PwC، فاسأل جهة الاتصال الخاصة بحسابك أو الفريق القانوني عما إذا تم إبلاغهم بأي شيء وما البيانات التي تمت مشاركتها.
  • راجع ما أرسلته. أعد قائمة تقريبية بالبيانات الشخصية أو المالية أو بيانات الموظفين التي مررتها مؤسستك إلى مستشارين خارجيين. لا يمكنك تقييم المخاطر دون معرفة ما هو موجود في الخارج.
  • راقب الحسابات. إذا كنت موظفًا أو عميلاً لشركة تستعين بمستشارين كبار، فراقب النشاط المصرفي والائتماني وكن حذرًا مع المكالمات أو الرسائل غير المرغوب فيها التي تشير إلى وظيفتك أو أموالك.

كيفية الحد من التعرض عندما يحتفظ المستشارون ببياناتك

لا يمكنك التحكم الكامل في كيفية تأمين طرف ثالث لمعلوماتك، لكن يمكنك تقليل ما يحتفظون به ومدة احتفاظهم به.

شارك الحد الأدنى. أرسل فقط السجلات التي تتطلبها المهمة. احجب أو أزل الحقول غير الضرورية، مثل تواريخ الميلاد الكاملة أو أرقام الهوية الحكومية.

حدد شروط الاحتفاظ. يمكن للعقود أن تحدد المدة التي يحتفظ فيها المستشار بالبيانات بعد انتهاء المشروع وتشترط الحذف أو الإعادة بعد ذلك. الملفات القديمة الموجودة على خوادم شركة ما هي تعرض للخطر دون أي فائدة.

اسأل عن الأمن والإشعار. يمكن للمؤسسات طلب تفاصيل حول كيفية حماية المستشارين للبيانات ومدى سرعة إبلاغهم للعملاء عن حادث مشتبه به. الإشعار الأسرع يمنح الجميع وقتًا أكبر للاستجابة.

استخدم نظافة حسابية قوية. إذا كنت تستخدم بوابة لتبادل المستندات، فاستخدم كلمة مرور فريدة ومصادقة متعددة العوامل. لن يوقف هذا هجومًا على أنظمة المستشار نفسه، لكنه يحمي الحسابات التي تتحكم بها.

تعلم من حالات مماثلة. نمط الضغط ليس فريدًا لهذا الإدراج. في حالة ATB التي تورطت فيها مجموعة تطلق على نفسها اسم DataSuckers، اقترن طلب الفدية بمزاعم عن عدد كبير من المتأثرين. قراءة كيفية تطور تلك المواقف تساعدك على تمييز شكل الإشعار الموثوق وشكل التباهي غير المؤكد.

ماذا يعني هذا بالنسبة لك

إذا لم تكن لديك أي صلة بـ PwC، فلا شيء في هذا الادعاء يتطلب اتخاذ إجراء اليوم. إذا كنت تعمل لدى الشركة أو معها، أو إذا كانت جهة عملك تشارك البيانات مع مستشارين كبار، فالاستجابة الحكيمة هي البقاء على اطلاع، وتجنب الافتراضات في أي من الاتجاهين، ومراقبة التواصل الرسمي. الدرس الأوسع ينطبق على الجميع: يمكن أن توجد بياناتك لدى مؤسسات لم تخترها قط، وتعتمد المخاطر جزئيًا على مقدار ما يحتفظون به منها.

النقاط الرئيسية

لا يزال ادعاء إيفرست بتعرض بيانات PwC للكشف غير مؤكد، دون عينات علنية أو تأكيد مستقل وقت إعداد التقرير. ومع ذلك، فإنه يُظهر لماذا تُعد المستشارات أهدافًا جذابة ولماذا ينبغي للعملاء معرفة ما شاركوه. افهم كيف يعمل الابتزاز المزدوج، وراقب إشعارات الاختراق من مستشاريك، وتعامل بحذر مع الرسائل غير المتوقعة بشأن أي حادث. قراءة شرحنا حول الابتزاز المزدوج وحالة ATB هي خطوة تالية جيدة إذا أردت رؤية كيف تميل هذه المواقف إلى التطور.