Μια ομάδα ransomware ισχυρίστηκε ότι παραβίασε τη Deloitte και εξέθεσε ευαίσθητα αρχεία. Μέχρι στιγμής, η αξίωση παραβίασης δεδομένων της Deloitte παραμένει ακριβώς αυτό: μια αξίωση. Καμία επαληθευμένη λεπτομέρεια σχετικά με το τι ελήφθη, ή αν ελήφθη οτιδήποτε απολύτως, δεν έχει τεκμηριωθεί στο υλικό που έχουμε στη διάθεσή μας. Παρ' όλα αυτά, η ιστορία αξίζει να γίνει κατανοητή, γιατί δείχνει πώς μια παραβίαση σε μια εταιρεία επαγγελματικών υπηρεσιών θα μπορούσε να εξαπλωθεί προς τα έξω σε ανθρώπους που δεν την έχουν ακούσει ποτέ.

Τι ισχυρίζεται η ομάδα ransomware

Σύμφωνα με την πηγή που το ανέφερε, μια ομάδα ransomware λέει ότι παραβίασε τη Deloitte και απέκτησε πρόσβαση σε ευαίσθητα αρχεία. Το δημοσίευμα πλαισιώνει την αξίωση γύρω από το τι είναι σύμφωνα με αναφορές σε κίνδυνο, αλλά δεν παρέχει επιβεβαιωμένη καταγραφή των κλεμμένων δεδομένων.

Αυτή η αξίωση ταιριάζει σε ένα μοτίβο που καλύψαμε σε προηγούμενο ρεπορτάζ μας. Η ομάδα ransomware Gentlemen έχει επίσης ισχυριστεί παραβιάσεις στη MoneyGram και την KFC, και όρισε προθεσμίες λύτρων για καθεμία. Η κάλυψή μας για τις καταχωρίσεις της ομάδας ransomware Gentlemen για MoneyGram, Deloitte και KFC σημειώνει ότι η ομάδα δεν έχει δημοσιεύσει κανένα δείγμα δεδομένων. Αυτή η λεπτομέρεια έχει σημασία, γιατί τα δείγματα είναι ένας από τους κύριους τρόπους με τους οποίους οι εξωτερικοί μπορούν να κρίνουν αν μια αξίωση ransomware είναι αξιόπιστη.

Τι έχει επιβεβαιωθεί και τι όχι

Βοηθά να διαχωρίσουμε τα γεγονότα από τους ισχυρισμούς.

Τι αναφέρεται:

  • Μια ομάδα ransomware έχει δημόσια διεκδικήσει παραβίαση της Deloitte.
  • Η αξίωση λέει ότι εκτέθηκαν ευαίσθητα αρχεία.
  • Σχετικές αξιώσεις εναντίον άλλων εταιρειών έχουν καταγραφεί δίπλα της, με προθεσμίες λύτρων.

Τι δεν έχει τεκμηριωθεί:

  • Αν η παραβίαση συνέβη πραγματικά.
  • Τι είδους δεδομένα, αν υπάρχουν, ελήφθησαν.
  • Αν επηρεάζονται άτομα, πελάτες ή πελάτες των πελατών.
  • Αν η Deloitte έχει επιβεβαιώσει, αρνηθεί ή σχολιάσει την αξίωση με τρόπο που να διευθετεί το ζήτημα.

Οι ομάδες ransomware μερικές φορές υπερβάλλουν ή κατασκευάζουν αξιώσεις για να πιέσουν τα θύματα ή να αποκτήσουν αναγνώριση. Άλλες αποδεικνύονται ακριβείς. Χωρίς δημοσιευμένα δείγματα ή επιβεβαίωση από την εταιρεία, δεν υπάρχει βάσιμος λόγος για να αντιμετωπιστεί η αξίωση ως αποδεδειγμένη, ή για να απορριφθεί.

Γιατί οι παραβιάσεις τρίτων προμηθευτών θέτουν σε κίνδυνο τους καταναλωτές

Η Deloitte είναι συμβουλευτική εταιρεία, και εταιρείες σαν αυτή συχνά χειρίζονται πληροφορίες για λογαριασμό άλλων οργανισμών. Αυτή είναι η οπτική που κάνει αυτή την αξίωση αξιοσημείωτη ακόμα και όταν είναι ανεπαλήθευτη. Αν ένας πάροχος επαγγελματικών υπηρεσιών κατέχει αρχεία από τους πελάτες του, μια παραβίαση εκεί θα μπορούσε θεωρητικά να εκθέσει πληροφορίες για τους υπαλλήλους, τους πελάτες ή τους συνεργάτες αυτών των πελατών, κανένας από τους οποίους δεν είχε άμεση σχέση με τον πάροχο.

Αυτό είναι το βασικό πρόβλημα με τον κίνδυνο τρίτων. Οι καταναλωτές συνήθως δεν μπορούν να δουν με ποιους προμηθευτές συνεργάζεται μια εταιρεία που εμπιστεύονται. Συμφωνούν σε μια πολιτική απορρήτου με έναν οργανισμό, αλλά τα δεδομένα τους μπορεί να περάσουν από αρκετούς άλλους. Όταν κάτι πάει στραβά σε έναν προμηθευτή, η ειδοποίηση μπορεί να είναι αργή, και οι άνθρωποι μπορεί να το μάθουν μόνο μέσω μιας επιστολής από μια εταιρεία που μετά βίας αναγνωρίζουν.

Για να είμαστε σαφείς, το άρθρο δεν λέει ότι αυτό συνέβη εδώ. Είναι μια υπενθύμιση του πώς η έκθεση μπορεί να ταξιδέψει όταν συμβαίνει σε παρόμοια περιστατικά.

Πώς να ελέγξετε αν τα δεδομένα σας μπορεί να εκτεθούν

Επειδή τίποτα δεν έχει επιβεβαιωθεί, δεν υπάρχει επίσημη λίστα επηρεαζόμενων ατόμων για έλεγχο. Μπορείτε ακόμα να κάνετε λογικά βήματα τώρα:

  • Αναζητήστε τις διευθύνσεις email σας σε μια υπηρεσία ειδοποίησης παραβιάσεων. Εργαλεία όπως το Have I Been Pwned σας επιτρέπουν να δείτε αν η διεύθυνσή σας εμφανίζεται σε γνωστά σύνολα δεδομένων παραβιάσεων. Για ένα παράδειγμα του πώς νέες καταχωρίσεις εμφανίζονται εκεί, δείτε το ρεπορτάζ μας για την παραβίαση του Crunchbase που πρόσθεσε 559.908 emails στο Have I Been Pwned. Σημειώστε ότι μια αξίωση όπως αυτή μπορεί να μην εμφανιστεί ποτέ σε τέτοια υπηρεσία εκτός αν τα δεδομένα πράγματι δημοσιευτούν.
  • Εγγραφείτε για ειδοποιήσεις. Πολλές υπηρεσίες παραβιάσεων θα σας ειδοποιήσουν αν η διεύθυνσή σας εμφανιστεί σε μελλοντικό σύνολο δεδομένων.
  • Προσέχετε το ταχυδρομείο και τα εισερχόμενά σας. Αν μια εταιρεία με την οποία συναλλάσσεστε επηρεαστεί, μπορεί να λάβετε επίσημη ειδοποίηση. Επαληθεύστε την πηγαίνοντας απευθείας στον επίσημο ιστότοπο της εταιρείας αντί να κάνετε κλικ σε συνδέσμους στο μήνυμα.
  • Να είστε σε επιφυλακή για phishing. Τα νέα μιας παραβίασης χρησιμοποιούνται συχνά ως δόλωμα σε απατηλά emails. Αντιμετωπίστε με προσοχή απροσδόκητα μηνύματα σχετικά με αυτό το περιστατικό.

Τι Σημαίνει Αυτό Για Εσάς

Για τους περισσότερους ανθρώπους, ο πρακτικός κίνδυνος αυτή τη στιγμή είναι χαμηλής βεβαιότητας παρά υψηλού συναγερμού. Δεν χρειάζεται να λάβετε δραστικά μέτρα για μια ανεπαλήθευτη αξίωση. Αλλά η στιγμή είναι μια καλή αφορμή για να ενισχύσετε συνήθειες που βοηθούν σε οποιοδήποτε σενάριο παραβίασης.

Χρησιμοποιήστε μοναδικούς κωδικούς πρόσβασης για κάθε λογαριασμό, ιδανικά με έναν διαχειριστή κωδικών πρόσβασης. Ενεργοποιήστε τον έλεγχο ταυτότητας πολλαπλών παραγόντων όπου προσφέρεται. Ελέγξτε τους λογαριασμούς σας για άγνωστη δραστηριότητα, και εξετάστε το ενδεχόμενο να τοποθετήσετε πάγωμα πίστωσης αν λάβετε ειδοποίηση ότι ενεπλάκησαν ευαίσθητα προσωπικά στοιχεία. Αυτά τα βήματα περιορίζουν τη ζημιά είτε η αξίωση της Deloitte αποδειχθεί αληθινή, ψευδής, είτε κάπου ενδιάμεσα.

Βασικά συμπεράσματα

  • Η αξίωση παραβίασης δεδομένων της Deloitte είναι ανεπαλήθευτη, και κανένα δείγμα δεδομένων δεν έχει δημοσιευτεί από την ομάδα.
  • Οι παραβιάσεις προμηθευτών και συμβουλευτικών εταιρειών μπορούν να επηρεάσουν ανθρώπους έμμεσα, γι' αυτό έχουν σημασία για τους καταναλωτές.
  • Ελέγξτε τις διευθύνσεις email σας με μια υπηρεσία ειδοποίησης παραβιάσεων όπως το Have I Been Pwned, και ενεργοποιήστε ειδοποιήσεις.
  • Παραμείνετε σκεπτικιστές απέναντι σε απροσδόκητα emails που αναφέρονται στο περιστατικό.
  • Διαβάστε τη σχετική κάλυψή μας για τις αξιώσεις της ομάδας ransomware Gentlemen, συμπεριλαμβανομένης της έλλειψης δημοσιευμένων δειγμάτων δεδομένων, και περιμένετε επίσημη επιβεβαίωση πριν βγάλετε συμπεράσματα.

Θα συνεχίσουμε να παρακολουθούμε αυτή την αξίωση παραβίασης δεδομένων της Deloitte και θα ενημερώσουμε τους αναγνώστες αν προκύψουν επαληθευμένες λεπτομέρειες.