Únik dat dodavatele Publica je nejnovější připomínkou toho, že organizace může být zasažena útokem na společnost, kterou sama neprovozuje. Podle švýcarských federálních úřadů se externí softwarový dodavatel využívaný společností Publica, švýcarským federálním penzijním fondem, stal na konci září obětí kybernetického útoku. Publica uvádí, že data fondu byla pravděpodobně uniknuta. Podrobnosti se stále zjišťují, proto tento článek odděluje to, co je hlášeno, od toho, co zůstává otevřené.

Co je známo o úniku dat dodavatele Publica

Klíčová fakta pocházejí z oficiálních sdělení. Útok byl zaměřen na externího softwarového dodavatele, nikoli na systémy samotné společnosti Publica jako vstupní bod. Publica uvádí, že její data byla pravděpodobně uniknuta, což je opatrná formulace: signalizuje pravděpodobné ohrožení, nikoli plně potvrzený rozsah. Odborníci švýcarské federální vlády spolupracují s softwarovým dodavatelem na analýze incidentu.

Několik otázek není v materiálech, které máme k dispozici, zodpovězeno. Nemáme potvrzený počet zasažených osob, potvrzený seznam kategorií dat ani prohlášení o tom, zda byla data zveřejněna nebo prodána. Dokud úřady neuvedou více, cokoli nad rámec výše uvedených bodů je spekulace a čtenáři by měli k neoficiálním tvrzením přistupovat opatrně.

Jaká osobní data mohou být odhalena

Protože přesný soubor dat nebyl ve zdrojích, které jsme zkoumali, podrobně popsán, poctivá odpověď je, že to dosud není potvrzeno. Co můžeme říci, je obecné: penzijní fond pracuje s informacemi o členech, jako jsou údaje o totožnosti a kontaktní údaje a záznamy spojené s jejich penzijním vztahem. Zda se něco z toho nachází v uniklém materiálu, budou muset objasnit Publica a federální úřady.

Tato nejistota je důležitá pro to, jak reagujete. Místo předpokladu nejhoršího nebo odmítání rizika se připravte na typy zneužití, které následují po většině úniků osobních informací: cílený phishing, vydávání se za jinou osobu a pokusy o otevření účtů nebo změnu údajů vaším jménem.

Jak porušení zabezpečení u dodavatelů šíří riziko

Incident ilustruje určitý vzorec. Organizace svěřují data softwarovým poskytovatelům a poskytovatelům spravovaných služeb, aby každodenní provoz probíhal hladce. Když je jeden z těchto dodavatelů kompromitován, organizace, která vlastní datový vztah, může být vtažena do incidentu, který sama přímo nezpůsobila.

Zdrojový článek se dotýká užitečného bodu o tom, jak to řešit. Popisuje poskytovatele spravovaných služeb (MSP) podporujícího zasaženou organizaci, který udržuje jasné rozdělení odpovědnosti: technická strana vede záznam o tom, co se stalo, zatímco určení vlastníci na straně klienta řídí komunikaci s členy a rozhodnutí o datovém vztahu. Odůvodnění je, že to snižuje pravděpodobnost, že se z technické aktualizace stavu stane nepodložené ujištění o osobních informacích. Jinými slovy, „pod kontrolou jsme to zvládli" by se nemělo tiše změnit na „vaše data jsou v bezpečí."

Článek také rámuje okamžitý cíl jako použitelný popis toho, co je známo, co zůstává otevřené a kdo to vyřeší. To je dobrý test pro jakékoli oznámení o narušení, které obdržíte. Pokud vám oznámení nedokáže sdělit tyto tři věci, požádejte o vysvětlení prostřednictvím oficiálního kanálu.

Co to znamená pro vás: kroky, které mohou zasažení členové podniknout nyní

Pokud jste členem Publica nebo s fondem jednáte jako zaměstnavatel či příjemce, existují praktické kroky, které dávají smysl, dokud vyšetřování pokračuje.

  • Sledujte oficiální zdroje. Kontrolujte vlastní webové stránky společnosti Publica a sdělení švýcarských federálních úřadů. Spoléhejte na ně, nikoli na souhrny ze sociálních médií.
  • Očekávejte phishing. Buďte skeptičtí k e-mailům, textovým zprávám nebo telefonátům, které zmiňují váš důchod, Publicu nebo datový incident. Neklikejte na odkazy ani neotevírejte přílohy v neočekávaných zprávách. Místo toho sami navštivte oficiální webové stránky nebo použijte kontaktní údaje, kterým již důvěřujete.
  • Nikdy nesdělujte přihlašovací údaje na vyžádání. Legitimní organizace vás nebude žádat o heslo nebo úplné ověřovací kódy e-mailem či telefonicky.
  • Zabezpečte své účty. Používejte jedinečná hesla pro každou službu, správce hesel, pokud chcete, a dvoufaktorové ověřování všude, kde je nabízeno.
  • Sledujte známky krádeže identity. Dávejte pozor na neznámou aktivitu na účtech, neočekávanou poštu o službách, které jste si nevyžádali, nebo změny vašich údajů, které jste neprovedli. Jakékoli podezřelé skutečnosti rychle nahlaste příslušné instituci.
  • Veďte záznamy. Uchovávejte všechna oficiální oznámení, která obdržíte, spolu s daty, pro případ, že se na ně budete muset později odvolat.

VPN tento typ incidentu neřeší. Dotyčná data byla v držení dodavatele, takže ochrana vašeho vlastního připojení nezmění to, co mohlo být odhaleno. Vaší nejlepší obranou je zde ostražitost a dobrá hygiena účtů.

Závěr

Únik dat dodavatele Publica se stále vyvíjí a nejjasnější shrnutí je toto: softwarový dodavatel byl napaden na konci září, data společnosti Publica byla pravděpodobně uniknuta a federální odborníci analyzují incident s dodavatelem. Nad rámec toho počkejte na potvrzené podrobnosti.

Pokud byste mohli být zasaženi, sledujte oficiální komunikaci společnosti Publica a švýcarských federálních úřadů, přistupujte s podezřením k neočekávaným zprávám o svém důchodu a dávejte pozor na známky krádeže identity. Zachovat klid a pozornost je nyní užitečnější než spekulovat o tom, co ukáže konečný obraz.