Un grupo de ransomware ha afirmado que vulneró a Deloitte y expuso archivos sensibles. Hasta ahora, la reclamación de filtración de datos de Deloitte sigue siendo solo eso: una afirmación. No se han establecido detalles verificados sobre lo que se sustrajo, ni sobre si se sustrajo algo en absoluto, en el material disponible para nosotros. Aun así, vale la pena entender la historia, porque muestra cómo un compromiso en una firma de servicios profesionales podría propagarse hacia personas que nunca han oído hablar de ella.

Lo que afirma el grupo de ransomware

Según la fuente que lo reporta, un grupo de ransomware dice que vulneró a Deloitte y obtuvo acceso a archivos sensibles. El informe enmarca la afirmación en torno a lo que supuestamente está en riesgo, pero no proporciona un inventario confirmado de los datos robados.

Esta afirmación encaja en un patrón cubierto en nuestra cobertura anterior. El grupo de ransomware Gentlemen también ha afirmado vulneraciones en MoneyGram y KFC, y fijó plazos de rescate para cada una. Nuestra cobertura de los listados del ransomware Gentlemen para MoneyGram, Deloitte y KFC señala que el grupo no ha publicado ninguna muestra de datos. Ese detalle importa, porque las muestras son una de las principales formas en que terceros pueden juzgar si una afirmación de ransomware es creíble.

Qué está confirmado y qué no

Ayuda separar los hechos de las afirmaciones.

Lo que se reporta:

  • Un grupo de ransomware ha afirmado públicamente una vulneración de Deloitte.
  • La afirmación dice que se expusieron archivos sensibles.
  • Afirmaciones relacionadas contra otras empresas se han listado junto a ella, con plazos de rescate.

Lo que no está establecido:

  • Si la vulneración realmente ocurrió.
  • Qué tipo de datos, si los hay, fueron sustraídos.
  • Si alguna persona, cliente o cliente de los clientes se ve afectada.
  • Si Deloitte ha confirmado, negado o comentado la afirmación de una manera que zanje el asunto.

Los grupos de ransomware a veces exageran o inventan afirmaciones para presionar a las víctimas o ganar notoriedad. Otros resultan ser exactos. Sin muestras publicadas ni una confirmación de la empresa, no hay base sólida para tratar la afirmación como probada, ni para descartarla.

Por qué las vulneraciones de proveedores externos ponen en riesgo a los consumidores

Deloitte es una consultora, y las firmas como ella a menudo manejan información en nombre de otras organizaciones. Ese es el ángulo que hace que esta afirmación sea notable incluso mientras no está verificada. Si un proveedor de servicios profesionales posee archivos de sus clientes, un compromiso allí podría en teoría exponer información sobre los empleados, clientes o socios de esos clientes, ninguno de los cuales tenía una relación directa con el proveedor.

Este es el problema central del riesgo de terceros. Los consumidores normalmente no pueden ver con qué proveedores trabaja una empresa en la que confían. Aceptan una política de privacidad con una organización, pero sus datos pueden pasar por varias otras. Cuando algo sale mal en un proveedor, la notificación puede ser lenta, y las personas pueden enterarse solo a través de una carta de una empresa que apenas reconocen.

Para ser claros, el artículo no dice que esto haya ocurrido aquí. Es un recordatorio de cómo la exposición puede viajar cuando sí ocurre en incidentes similares.

Cómo comprobar si tus datos pueden estar expuestos

Debido a que no se ha confirmado nada, no hay una lista oficial de personas afectadas con la que comprobar. Aun así puedes tomar medidas sensatas ahora:

  • Busca tus direcciones de correo electrónico en un servicio de notificación de filtraciones. Herramientas como Have I Been Pwned te permiten ver si tu dirección aparece en conjuntos de datos de filtraciones conocidas. Para un ejemplo de cómo aparecen nuevas entradas allí, consulta nuestro informe sobre la filtración de Crunchbase que añadió 559.908 correos electrónicos a Have I Been Pwned. Ten en cuenta que una afirmación como esta puede que nunca aparezca en tal servicio a menos que los datos se publiquen realmente.
  • Suscríbete a las notificaciones. Muchos servicios de filtraciones te alertarán si tu dirección aparece en un conjunto de datos futuro.
  • Vigila tu correo postal y tu bandeja de entrada. Si una empresa con la que tratas se ve afectada, puedes recibir un aviso formal. Verifícalo yendo directamente al sitio oficial de la empresa en lugar de hacer clic en enlaces del mensaje.
  • Mantente alerta ante el phishing. Las noticias de una filtración a menudo se usan como cebo en correos fraudulentos. Trata con cautela los mensajes inesperados sobre este incidente.

Qué significa esto para ti

Para la mayoría de las personas, el riesgo práctico en este momento es de baja certeza más que de alta alarma. No necesitas tomar medidas drásticas por una afirmación no verificada. Pero el momento es un buen recordatorio para reforzar hábitos que ayudan en cualquier escenario de filtración.

Usa contraseñas únicas para cada cuenta, idealmente con un gestor de contraseñas. Activa la autenticación multifactor donde se ofrezca. Revisa tus cuentas en busca de actividad desconocida, y considera colocar un congelamiento de crédito si recibes un aviso de que estuvieron involucrados datos personales sensibles. Estos pasos limitan el daño tanto si la afirmación sobre Deloitte resulta verdadera, falsa o algo intermedio.

Puntos clave

  • La afirmación de filtración de datos de Deloitte no está verificada, y el grupo no ha publicado ninguna muestra de datos.
  • Los compromisos de proveedores y consultoras pueden afectar a las personas indirectamente, por lo que importan a los consumidores.
  • Comprueba tus direcciones de correo electrónico con un servicio de notificación de filtraciones como Have I Been Pwned, y activa las alertas.
  • Mantente escéptico ante correos electrónicos inesperados que hagan referencia al incidente.
  • Lee nuestra cobertura relacionada sobre las afirmaciones del grupo de ransomware Gentlemen, incluida la falta de muestras de datos publicadas, y espera una confirmación oficial antes de sacar conclusiones.

Seguiremos de cerca esta afirmación de filtración de datos de Deloitte y actualizaremos a los lectores si surgen detalles verificados.