Τι Ισχυρίζεται η TCS ότι Συνέβη και Τι Διαψεύδει

Η Tata Consultancy Services (TCS) ενημέρωσε τα χρηματιστήρια τη Δευτέρα ότι έλαβε ειδοποιήσεις πληροφοριών απειλών που υποδεικνύουν πιθανή έκθεση συγκεκριμένων πληροφοριών εργαζομένων. Η εταιρεία δήλωσε ότι ξεκίνησε εσωτερική έρευνα ως απάντηση και ότι η έρευνα δεν βρήκε αξιόπιστα στοιχεία παραβίασης που να επηρεάζει είτε τα δικά της συστήματα είτε τα περιβάλλοντα των πελατών της.

Πρόκειται για μια αξιοσημείωτα στενή διάψευση. Η TCS δεν ισχυρίζεται ότι δεν συνέβη τίποτα απολύτως· λέει ότι όποιες ειδοποιήσεις έλαβε δεν μεταφράστηκαν σε επιβεβαιωμένη μη εξουσιοδοτημένη πρόσβαση στην υποδομή της ή στα δεδομένα πελατών. Για μια εταιρεία του μεγέθους της TCS, με εκατοντάδες χιλιάδες εργαζομένους και συμβόλαια που εκτείνονται σε τραπεζικούς, λιανικούς και κυβερνητικούς πελάτες παγκοσμίως, αυτή η διάκριση έχει σημασία. Οι ισχυρισμοί για διαρροή δεδομένων της TCS επικεντρώνονται σε πληροφορίες που σχετίζονται με εργαζομένους, όχι σε συστήματα πελατών, σύμφωνα με τη δήλωση της ίδιας της εταιρείας.

Πώς Διαφέρουν οι Ειδοποιήσεις Πληροφοριών Απειλών από τις Επιβεβαιωμένες Παραβιάσεις

Αξίζει να κατανοήσουμε τι είναι στην πραγματικότητα μια «ειδοποίηση πληροφοριών απειλών», επειδή είναι διαφορετικό πράγμα από μια επιβεβαιωμένη γνωστοποίηση παραβίασης. Αυτές οι ειδοποιήσεις προέρχονται συνήθως από τρίτες εταιρείες ασφαλείας, υπηρεσίες παρακολούθησης σκοτεινού δικτύου ή ερευνητές που εντοπίζουν δείγματα δεδομένων, δημοσιεύσεις σε φόρουμ ή αξιώσεις εκβιασμού που αναφέρουν μια εταιρεία ονομαστικά. Η ίδια η ειδοποίηση είναι ένα σήμα ότι κάτι ισχυρίζεται ή προσφέρεται, όχι απόδειξη ότι το δίκτυο μιας εταιρείας έχει πράγματι παραβιαστεί.

Οι εταιρείες λαμβάνουν τακτικά αυτές τις ειδοποιήσεις και πρέπει να τις αξιολογούν: είναι τα δεδομένα γνήσια, είναι πρόσφατα, αντιστοιχούν σε πραγματικά αρχεία εργαζομένων και προήλθαν από τα συστήματα της ίδιας της εταιρείας ή από κάπου αλλού εντελώς (έναν τρίτο προμηθευτή, μια παλιά διαρροή που ανακυκλώθηκε και επανακυκλοφόρησε ή μια εντελώς άσχετη πηγή); Η δήλωση της TCS ότι δεν βρήκε «αξιόπιστα στοιχεία» υποδηλώνει ότι η έρευνά της κατέληξε στο συμπέρασμα ότι τα υποτιθέμενα δεδομένα είτε δεν επαληθεύτηκαν, δεν ήταν επίκαιρα ή δεν προήλθαν από το δικό της περιβάλλον. Αλλά αυτό το συμπέρασμα βασίζεται στην εσωτερική επανεξέταση της TCS και τα εξωτερικά μέρη γενικά δεν έχουν ανεξάρτητο τρόπο να το επαληθεύσουν έως ότου προκύψουν περισσότερες λεπτομέρειες, αν προκύψουν ποτέ.

Γιατί Ομάδες Εκβιασμού Στοχεύουν Μεγάλους Παρόχους Υπηρεσιών Πληροφορικής

Οι μεγάλες εταιρείες υπηρεσιών πληροφορικής είναι ελκυστικοί στόχοι ακριβώς λόγω της κλίμακας τους και του ιστού των πελατειακών τους σχέσεων. Ένας μόνο προμηθευτής όπως η TCS βρίσκεται στη διασταύρωση των συστημάτων δεκάδων μεγάλων επιχειρήσεων, γεγονός που καθιστά οποιονδήποτε ισχυρισμό παραβίασης, πραγματικό ή διογκωμένο, πολύτιμο μοχλό για ομάδες εκβιασμού. Ακόμη και ένας μη επαληθευμένος ισχυρισμός μπορεί να δημιουργήσει πρωτοσέλιδα, να πιέσει την τιμή της μετοχής μιας εταιρείας και να δημιουργήσει αμφιβολίες στους πελάτες σχετικά με την ασφάλεια των δικών τους αγωγών δεδομένων.

Αυτή η δυναμική δεν είναι μοναδική για την TCS. Οι ισχυρισμοί έκθεσης δεδομένων που αφορούν μεγάλους οργανισμούς τείνουν να ακολουθούν ένα γνωστό μοτίβο: ένας παράγοντας απειλής ή μια καταχώρηση στο σκοτεινό δίκτυο εμφανίζεται, ο οργανισμός ερευνά και το κοινό μένει να περιμένει μια επίλυση που μερικές φορές δεν έρχεται ποτέ πλήρως. Ο Οργανισμός Έρευνας και Ανάπτυξης Άμυνας της Ινδίας αντιμετώπισε μια παρόμοια κατάσταση όταν εμφανίστηκαν αναφορές για ευαίσθητα δεδομένα που προσφέρονται προς πώληση στο σκοτεινό δίκτυο, ένας ισχυρισμός που χρειάστηκε χρόνο για να επαληθευτεί και αργότερα επεκτάθηκε όταν 31GB υποτιθέμενων αμυντικών αρχείων καταχωρήθηκαν δημόσια. Και οι δύο περιπτώσεις απεικονίζουν πώς οι ισχυρισμοί και οι επιβεβαιώσεις μπορούν να ακολουθήσουν πολύ διαφορετικά χρονοδιαγράμματα και γιατί η στήριξη αποκλειστικά στην αρχική δήλωση μιας εταιρείας, χωρίς παρακολούθηση, μπορεί να αφήσει πραγματικά ερωτήματα αναπάντητα.

Τι Πρέπει να Ελέγξουν Τώρα οι Εργαζόμενοι και οι Πελάτες-Εταιρείες της TCS

Για τους νυν και πρώην εργαζομένους της TCS, μια εταιρική δήλωση «καμία αξιόπιστη ένδειξη παραβίασης» είναι καθησυχαστική αλλά δεν υποκαθιστά την προσωπική επαγρύπνηση. Αξίζει να ελέγξετε αν η επαγγελματική σας διεύθυνση email ή τα προσωπικά σας αναγνωριστικά εμφανίζονται σε δημόσια ευρετηριασμένες βάσεις δεδομένων παραβιάσεων, να παρακολουθείτε για ασυνήθιστες προσπάθειες σύνδεσης σε λογαριασμούς που συνδέονται με την εργασία σας και να είστε σε εγρήγορση για απόπειρες phishing που αναφέρουν τον εργοδότη σας ονομαστικά, καθώς διαρρευσμένα ή υποτιθέμενα δεδομένα εργαζομένων χρησιμοποιούνται συχνά για να κάνουν τα απατηλά email να φαίνονται πιο πειστικά.

Οι εταιρείες-πελάτες που βασίζονται στην TCS για υπηρεσίες πληροφορικής θα πρέπει να ζητήσουν από τις ομάδες διαχείρισης κινδύνου προμηθευτών τους λεπτομέρειες: ποια δεδομένα υποτίθεται ότι εκτέθηκαν, πόσο παλιά είναι και ποια παρακολούθηση υπάρχει στο εξής. Το «καμία ένδειξη παραβίασης σε περιβάλλοντα πελατών» είναι ένα χρήσιμο σημείο εκκίνησης, αλλά οι εταιρικοί πελάτες έχουν γενικά συμβατικά δικαιώματα να ζητήσουν περισσότερες λεπτομέρειες και η άσκηση αυτού του δικαιώματος είναι εύλογη δεδομένου του όγκου των επιχειρησιακών και οικονομικών δεδομένων που διακινούνται μέσω μεγάλων προμηθευτών πληροφορικής.

Τι Σημαίνει Αυτό για Εσάς

Είτε είστε εργαζόμενος είτε πελάτης, η ασφαλέστερη προσέγγιση στους ισχυρισμούς διαρροής δεδομένων της TCS είναι να αντιμετωπίσετε τη δήλωση της εταιρείας ως ένα δεδομένο, όχι ως την τελευταία λέξη. Οι ειδοποιήσεις πληροφοριών απειλών μπορεί να είναι λανθασμένες, ξεπερασμένες ή βασισμένες σε ανακυκλωμένα δεδομένα, αλλά μπορούν επίσης να είναι πρώιμες προειδοποιήσεις για κάτι πιο σοβαρό που χρειάζεται εβδομάδες για να επιβεβαιωθεί πλήρως. Η παθητική αναμονή για περαιτέρω ενημερώσεις δεν είναι στρατηγική· ο ανεξάρτητος έλεγχος της δικής σας έκθεσης είναι.

Ενέργειες που Μπορείτε να Κάνετε

  • Αναζητήστε τις επαγγελματικές και προσωπικές σας διευθύνσεις email σε αξιόπιστα εργαλεία παρακολούθησης παραβιάσεων για να δείτε αν εμφανίζονται σε γνωστές διαρροές.
  • Ενεργοποιήστε τον έλεγχο ταυτότητας πολλαπλών παραγόντων σε όλους τους λογαριασμούς που σχετίζονται με την εργασία σας, αν δεν το έχετε κάνει ήδη.
  • Να είστε ιδιαίτερα προσεκτικοί με email ή κλήσεις που αναφέρουν τον εργοδότη σας, ειδικά εκείνα που σας ζητούν να επαληθεύσετε διαπιστευτήρια ή να κάνετε κλικ σε συνδέσμους.
  • Αν εργάζεστε σε εταιρεία που συνεργάζεται με την TCS, ρωτήστε την ομάδα ασφαλείας ή προμηθειών σας ποιες συγκεκριμένες διαβεβαιώσεις έχει παράσχει ο προμηθευτής πέρα από τη δημόσια δήλωση.
  • Παρακολουθήστε τις επόμενες αναφορές, καθώς οι αρχικές δηλώσεις «δεν βρέθηκε παραβίαση» από μεγάλους προμηθευτές δεν σηματοδοτούν πάντα το τέλος της ιστορίας.