Nová zveřejnění rozšířila okruh obětí úniku dat společnosti EY, přičemž Goldman Sachs a Man Group byly jmenovány jako další organizace zasažené hackerským incidentem z dřívějška tohoto roku, podle Financial Times. Únik dat společnosti EY, s nímž je nyní Goldman Sachs spojován, je užitečnou případovou studií toho, jak jeden kompromis v profesionální služební firmě může zasáhnout daleko za hranice samotné firmy. Zdrojová zpráva je stručná, proto se tento článek drží toho, co stanovuje, a jasně označuje, co zůstává neznámé. ## Co nová zveřejnění odhalují Ústředním vývojem je rostoucí seznam zasažených stran. Goldman Sachs, jedna z největších investičních bank na světě, a Man Group, významný správce aktiv, byly identifikovány jako oběti spojené s dřívějším hackem společnosti EY. Zpráva popisuje zveřejnění jako rozšiřující okruh obětí incidentu, k němuž došlo dříve tohoto roku. Zdroj neuvádí, kolik lidí nebo záznamů je zapojeno v každé firmě, jaké konkrétní informace z nich byly získány, ani kdy se každá organizace o expozici dozvěděla. To jsou důležité mezery a čtenáři by měli zacházet s jakýmikoli čísly kolujícími jinde opatrně, pokud nepocházejí od samotných společností nebo regulátorů. ## Jak se únik u třetí strany šíří ke klientům Auditoři, daňoví poradci a konzultanti zaujímají neobvyklou pozici. Aby mohli vykonávat svou práci, uchovávají kopie citlivých materiálů klientů: finanční výkazy, daňové soubory, údaje o účtech a informace o vlastních zákaznících nebo investorech klientů. To z nich činí koncentrované cíle. Útočník, který pronikne do jedné takové firmy, může získat přístup k datům patřícím desítkám nebo stovkám organizací najednou. To je důvod, proč se seznam obětí po prvním zveřejnění obvykle rozrůstá. Každý klient kompromitovaného dodavatele musí zjistit, zda byla jeho data zapojena, a každý se sám rozhoduje, kdy a jak zveřejnit informace. Výsledkem je postupné přicházení oznámení během týdnů nebo měsíců, což odpovídá tomu, co zde vidíme. Vzor není omezen na finance. Únik u přepravního poskytovatele například vedl k expozici údajů zákazníků v případě pokrytém v naší zprávě o [úniku u přepravního partnera Trezor, který odhalil 13 000 kupujících](/en/trezor-shipping-partner-breach-exposes-13-000-buyers). Společnost, jejíž jméno je na produktu, nebyla ta, která byla hacknuta, přesto byli její zákazníci zasaženi. ## Co je a co není známo o exponovaných datech Co je známo: incident se stal dříve tohoto roku, EY byla původním cílem a Goldman Sachs a Man Group byly nyní jmenovány jako další oběti. Co není ve zdrojovém materiálu stanoveno: - Zda byla zapojena data klientů, data zaměstnanců nebo data o vlastních zákaznících firem - Počet zasažených jednotlivců v kterékoli z firem - Zda byla data zveřejněna nebo zneužita - Jaká oznámení, pokud vůbec nějaká, jednotlivci obdrželi Dokud firmy nebo regulátoři neposkytnou více podrobností, je moudré vyhnout se předpokladu toho nejhoršího i toho nejlepšího. Velké instituce často zveřejňují informace postupně a raný obraz se může změnit. ## Co to znamená pro vás Možná jste nikdy neslyšeli o interních systémech EY, ale přesto můžete být zasaženi, pokud banka, fond nebo zaměstnavatel, s nimiž jednáte, použili kompromitovaného dodavatele. Málokdo si vybírá dodavatele své instituce a oznámení o únicích často přicházejí od společnosti, kterou neznáte. To má dvě stránky. Zaprvé, dopis nebo e-mail o úniku u dodavatele může být legitimní, takže jej neodhazujte. Zadruhé, zprávy o únicích jsou oblíbeným háčkem pro podvodníky, proto ověřte jakoukoli zprávu přímým přechodem na oficiální webové stránky instituce, místo abyste klikali na odkazy v oznámení. Stejná dynamika se objevuje v menších incidentech. Naše pokrytí [úniku dat SafePal zasahujícího téměř 40 000 zákazníků](/en/safepal-data-breach-exposes-nearly-40-000-customers) ukazuje, jak se údaje zákazníků mohou dostat do nesprávných rukou, i když je samotný produkt postaven kolem bezpečnosti. ## Co by jednotlivci měli dělat po úniku u dodavatele Nemusíte čekat na potvrzení, že vaše vlastní data byla získána. Rozumné a nízkonákladové kroky zahrnují: 1. **Sledujte své účty.** Kontrolujte výpisy z banky, makléřských a kreditních účtů na neznámé aktivity a zapněte upozornění na transakce. 2. **Zkontrolujte si úvěrové zprávy.** Zvažte upozornění na podvod nebo zmrazení úvěru, pokud obdržíte oznámení, že byly zapojeny citlivé identifikátory. 3. **Buďte skeptičtí k neočekávaným zprávám.** Phishing často následuje po zprávách o únicích. Nesdílejte kódy, hesla ani osobní údaje v reakci na nevyžádaný kontakt. 4. **Používejte jedinečná hesla a vícefaktorové ověřování.** To omezí škody, pokud bylo jakékoli pověření exponováno. 5. **Uchovejte si jakékoli oznamovací dopisy.** Mohou být užitečné, pokud budete později potřebovat zpochybnit podvod nebo požádat o monitorování úvěru nabízené zasaženou společností. ## Shrnutí Únik dat společnosti EY, s nímž byly nyní Goldman Sachs a Man Group spojeny, je připomínkou, že vaše data jsou jen tak v bezpečí, jak bezpečný je nejslabší dodavatel v řetězci. Plný rozsah je stále nejasný, proto sledujte oficiální aktualizace od zúčastněných firem. Mezitím sledujte své účty, zpřísněte zabezpečení svých účtů a zacházejte s neočekávanými zprávami souvisejícími s únikem opatrně. Pro další příklady toho, jak se expozice u třetích stran vyvíjí, si přečtěte naše zprávy o [úniku u přepravního partnera Trezor](/en/trezor-shipping-partner-breach-exposes-13-000-buyers) a [úniku SafePal](/en/safepal-data-breach-exposes-nearly-40-000-customers).