El grupo de ransomware Everest ha incluido a PwC en su sitio de extorsión, poniendo en el punto de mira a una de las mayores redes de servicios profesionales del mundo. La afirmación no está verificada y no se ha demostrado que PwC haya perdido ningún dato. Aun así, la afirmación de Everest sobre la exposición de datos de PwC es un recordatorio útil de cómo una brecha en un asesor puede afectar a personas que nunca trataron con el atacante, ni siquiera con la propia firma.

Qué afirma Everest sobre PwC

Según los medios de seguridad que siguen el listado, Everest dice haber robado 590,69 GB de datos vinculados a PwC. Un resumen del listado cifra el botín en 108.426 archivos y describe el material como registros de empleados y datos personales. Otras coberturas mencionan registros de recursos humanos y material de formación. Una publicación en LinkedIn que difundía la afirmación fue más allá y se refirió a datos de empleados y de auditoría, pero esa descripción proviene de comentarios sobre la afirmación y no de pruebas verificadas.

La advertencia importante es que nada de esto ha sido confirmado. Un boletín de seguridad señaló que el listado no iba acompañado de muestras de datos, detalles técnicos ni pruebas independientes. Los grupos de ransomware incluyen a las víctimas para generar presión, y un listado por sí solo no demuestra que se hayan tomado datos, que sean auténticos o que provengan de sistemas de PwC como se afirma. Hasta que PwC confirme un incidente o aparezcan pruebas creíbles, los lectores deberían tratar las cifras anteriores como alegaciones.

Por qué los asesores externos son objetivos atractivos para la extorsión

Las firmas de servicios profesionales guardan mucha información que pertenece a otras personas. Los auditores, consultores y asesores fiscales reciben registros financieros, contratos, datos de empleados y documentos internos para poder hacer su trabajo. Esos archivos suelen estar en un solo lugar, lo que hace que una única intrusión exitosa sea potencialmente valiosa.

Aquí es donde importa la diferencia entre el propietario de los datos y el custodio de los datos. Una empresa que entrega registros a un asesor puede no enterarse nunca de que un atacante los tiene, a menos que el asesor lo revele. Las personas están aún más alejadas: un empleado cuyos datos aparecen en los archivos de un cliente no tiene ninguna relación directa con el asesor.

También hay un efecto de palanca. Los grupos de ransomware modernos rara vez dependen solo del cifrado. Primero roban los datos y amenazan con publicarlos, que es la táctica que describimos en nuestra guía sobre la doble extorsión de ransomware. Una firma que atiende a muchos clientes sensibles tiene poderosas razones para evitar una filtración pública, y los atacantes lo saben. Nombrar a un objetivo de alto perfil en un sitio de filtraciones también atrae la atención, tanto si la afirmación se sostiene como si no.

Qué deberían comprobar ahora los clientes y las personas

No hay una brecha confirmada a la que responder, así que el objetivo es una preparación serena, no el pánico. Merece la pena dar unos pasos prácticos:

  • Esté atento a los avisos oficiales. Si PwC o cualquiera de sus propios asesores confirman un incidente, las notificaciones suelen llegar por correo electrónico o correo postal. Léalas con atención y guarde una copia.
  • Verifique antes de hacer clic. Afirmaciones como esta a menudo desencadenan phishing que imita un aviso de brecha. Vaya directamente al sitio web oficial de la organización en lugar de seguir enlaces en mensajes inesperados.
  • Pregunte a sus propios contactos. Si su empresa trabaja con PwC, pregunte a su contacto de cuenta o a su equipo legal si les han informado de algo y qué datos se compartieron.
  • Revise lo que envió. Haga una lista aproximada de los datos personales, financieros o de empleados que su organización ha entregado a asesores externos. No puede evaluar el riesgo sin saber qué hay ahí fuera.
  • Vigile sus cuentas. Si es empleado o cliente de una firma que utiliza grandes asesores, vigile la actividad bancaria y crediticia y sea cauteloso con llamadas o correos no solicitados que hagan referencia a su trabajo o a sus finanzas.

Cómo limitar la exposición cuando los asesores tienen sus datos

No puede controlar por completo cómo un tercero protege su información, pero puede reducir lo que guardan y cuánto tiempo lo conservan.

Comparta lo mínimo. Envíe solo los registros que requiere un encargo. Redacte o elimine los campos que no sean necesarios, como las fechas de nacimiento completas o los números de identificación oficial.

Establezca plazos de conservación. Los contratos pueden especificar cuánto tiempo conserva un asesor los datos tras finalizar un proyecto y exigir su eliminación o devolución después. Los archivos antiguos que permanecen en los servidores de una firma son exposición sin beneficio alguno.

Pregunte por la seguridad y la notificación. Las organizaciones pueden solicitar detalles sobre cómo protegen los datos los asesores y con qué rapidez deben informar a los clientes de un incidente sospechado. Un aviso más rápido da a todos más tiempo para responder.

Use una buena higiene de cuentas. Si utiliza un portal para intercambiar documentos, use una contraseña única y autenticación multifactor. Esto no detendrá un ataque contra los propios sistemas del asesor, pero protege las cuentas que usted controla.

Aprenda de casos comparables. El patrón de presión no es exclusivo de este listado. En el caso ATB, que involucra a un grupo que se hace llamar DataSuckers, una exigencia de rescate se combinó con afirmaciones de un gran número de personas afectadas. Leer cómo se desarrollan esas situaciones le ayuda a distinguir cómo es una notificación creíble y cómo es una fanfarronada no verificada.

Qué significa esto para usted

Si no tiene ninguna conexión con PwC, nada de esta afirmación requiere acción hoy. Si trabaja para la firma o con ella, o si su empleador comparte datos con grandes asesores, la respuesta sensata es mantenerse informado, evitar suposiciones en cualquier dirección y estar atento a las comunicaciones oficiales. La lección más amplia se aplica a todos: sus datos pueden estar en organizaciones que usted nunca eligió, y el riesgo depende en parte de qué tan pocos de ellos conservan.

Puntos clave

La afirmación de Everest sobre la exposición de datos de PwC sigue sin verificarse, sin muestras públicas ni confirmación independiente en el momento de la publicación. Aun así, muestra por qué los asesores son objetivos atractivos y por qué los clientes deberían saber qué han compartido. Comprenda cómo funciona la doble extorsión, esté atento a las notificaciones de brechas de sus asesores y trate con cautela los mensajes inesperados sobre cualquier incidente. Leer nuestra guía sobre la doble extorsión y el caso ATB es un buen siguiente paso si quiere ver cómo suelen desarrollarse estas situaciones.