Hvad TCS siger, der skete, og hvad selskabet afviser

Tata Consultancy Services (TCS) meddelte mandag til børserne, at selskabet havde modtaget trusselsintelligens-advarsler, der pegede på mulig eksponering af visse medarbejderoplysninger. Selskabet oplyste, at det iværksatte en intern undersøgelse som reaktion, og at undersøgelsen ikke fandt nogen troværdige beviser for et brud, der påvirkede hverken dets egne systemer eller kundemiljøer.

Det er en bemærkelsesværdigt snæver afvisning. TCS hævder ikke, at der slet ikke er sket noget; selskabet siger, at de advarsler, det modtog, ikke kunne omsættes til bekræftet uautoriseret adgang til dets infrastruktur eller kundedata. For en virksomhed af TCS's størrelse med hundredtusindvis af medarbejdere og kontrakter, der spænder over bank, detailhandel og offentlige kunder verden over, er den skelnen vigtig. Påstandene om TCS-datalæk drejer sig om medarbejderrelaterede oplysninger, ikke kundesystemer, ifølge selskabets egen udtalelse.

Hvordan trusselsintelligens-advarsler adskiller sig fra bekræftede brud

Det er værd at forstå, hvad en "trusselsintelligens-advarsel" egentlig er, for den er en anden størrelse end en bekræftet indberetning om brud. Disse advarsler kommer typisk fra tredjeparts sikkerhedsfirmaer, overvågningstjenester på det mørke net eller forskere, der opdager dataeksempler, forumopslag eller afpresningskrav, der nævner en virksomhed ved navn. Selve advarslen er et signal om, at noget bliver påstået eller udbudt, ikke et bevis på, at en virksomheds netværk faktisk blev kompromitteret.

Virksomheder modtager rutinemæssigt disse advarsler og er nødt til at sortere dem: Er dataene ægte, er de aktuelle, svarer de til faktiske medarbejderregistre, og stammer de fra virksomhedens egne systemer eller et helt andet sted (en tredjepartsleverandør, et gammelt læk genbrugt og omdøbt, eller en helt urelateret kilde)? TCS's udsagn om, at det fandt "ingen troværdige beviser", antyder, at undersøgelsen konkluderede, at de påståede data enten ikke stemte, ikke var aktuelle eller ikke stammede fra selskabets eget miljø. Men den konklusion hviler på TCS's interne gennemgang, og udenforstående har generelt ingen uafhængig måde at verificere den på, indtil der dukker flere detaljer op, hvis det nogensinde sker.

Hvorfor afpresningsgrupper retter sig mod store it-serviceudbydere

Store it-servicevirksomheder er attraktive mål netop på grund af deres skala og deres net af kunderelationer. En enkelt leverandør som TCS befinder sig i skæringspunktet mellem snesevis af store virksomheders systemer, hvilket gør ethvert krav om kompromittering – ægte eller overdrevet – til værdifuld løftestang for afpresningsgrupper. Selv et ubekræftet krav kan skabe overskrifter, lægge pres på en virksomheds aktiekurs og skabe tvivl hos kunderne om sikkerheden i deres egne datapipelines.

Denne dynamik er ikke unik for TCS. Påstande om dataeksponering, der involverer store organisationer, følger gerne et velkendt mønster: En trusselsaktør eller en liste på det mørke net dukker op, organisationen undersøger sagen, og offentligheden efterlades ventende på en afklaring, der nogle gange aldrig rigtig kommer. Indiens Defence Research and Development Organisation stod over for en lignende situation, da der kom rapporter om følsomme data udbudt til salg på det mørke net, en påstand, der tog tid at verificere og senere voksede, da 31 GB påståede forsvarsfiler blev offentliggjort. Begge sager illustrerer, hvordan påstande og bekræftelser kan følge meget forskellige tidslinjer, og hvorfor det kan efterlade reelle spørgsmål ubesvarede, hvis man udelukkende stoler på en virksomheds første udmelding uden opfølgning.

Hvad TCS-medarbejdere og kundevirksomheder bør tjekke nu

For nuværende og tidligere TCS-medarbejdere er en virksomhedsudtalelse om "ingen troværdige beviser for brud" beroligende, men kan ikke erstatte personlig årvågenhed. Det er værd at tjekke, om din arbejdsmail eller personlige identifikatorer optræder i offentligt indekserede brud-databaser, holde øje med usædvanlige loginforsøg på konti knyttet til din ansættelse og være opmærksom på phishing-forsøg, der nævner din arbejdsgiver ved navn, eftersom lækkede eller påståede medarbejderdata ofte bruges til at få scam-e-mails til at se mere overbevisende ud.

Kundevirksomheder, der benytter TCS til it-services, bør bede deres leverandørrisikostyringsteams om specifikke oplysninger: Hvilke data blev angiveligt eksponeret, hvor gamle er de, og hvilken overvågning er der på plads fremadrettet? "Ingen beviser for brud i kundemiljøer" er et nyttigt udgangspunkt, men virksomhedskunder har generelt kontraktlige rettigheder til at anmode om flere detaljer, og det er rimeligt at udøve den ret i betragtning af, hvor store mængder drifts- og finansdata der flyder gennem store it-leverandører.

Hvad det betyder for dig

Uanset om du er medarbejder eller kunde, er den sikreste tilgang til påstande om TCS-datalæk at betragte virksomhedens udtalelse som ét datapunkt, ikke det sidste ord. Trusselsintelligens-advarsler kan være forkerte, forældede eller baseret på genbrugte data, men de kan også være tidlige advarsler om noget mere alvorligt, der tager uger at bekræfte fuldt ud. Passivt at vente på yderligere opdateringer er ikke en strategi; at tjekke sin egen eksponering uafhængigt er det.

Konkrete tiltag

  • Søg efter dine arbejds- og private e-mailadresser i velrenommerede brudovervågningsværktøjer for at se, om de optræder i kendte læk.
  • Aktivér multifaktorautentificering på alle arbejdsrelaterede konti, hvis du ikke allerede har gjort det.
  • Vær ekstra forsigtig med e-mails eller opkald, der henviser til din arbejdsgiver, især dem der beder dig bekræfte legitimationsoplysninger eller klikke på links.
  • Hvis du arbejder i en virksomhed, der har kontrakt med TCS, så spørg dit sikkerheds- eller indkøbsteam, hvilke specifikke forsikringer leverandøren har givet ud over den offentlige udtalelse.
  • Hold øje med opfølgende rapportering, da indledende "intet brud fundet"-udtalelser fra store leverandører ikke altid markerer afslutningen på historien.