Revendication de violation de données chez Deloitte : le groupe Gentlemen nomme l'entreprise

Un groupe de rançongiciels affirme avoir compromis Deloitte et exposé des fichiers sensibles. À ce jour, la revendication de violation de données chez Deloitte ne reste que cela : une revendication. Aucun détail vérifié sur ce qui a été pris, ni même si quoi que ce soit a été pris, n'a été établi dans les éléments à notre disposition. Malgré cela, l'histoire mérite d'être comprise, car elle montre comment une compromission chez un cabinet de services professionnels pourrait se répercuter sur des personnes qui n'en ont jamais entendu parler.

Ce que le groupe de rançongiciels revendique

Selon la source qui rapporte l'information, un groupe de rançongiciels affirme avoir compromis Deloitte et avoir obtenu accès à des fichiers sensibles. Le rapport présente la revendication autour de ce qui serait prétendument en danger, mais il ne fournit pas d'inventaire confirmé des données volées.

Cette revendication correspond à un schéma couvert dans nos articles précédents. Le groupe de rançongiciels Gentlemen a également revendiqué des violations chez MoneyGram et KFC, et fixé des délais de rançon pour chacun. Notre couverture des annonces du groupe de rançongiciels Gentlemen pour MoneyGram, Deloitte et KFC note que le groupe n'a publié aucun échantillon de données. Ce détail est important, car les échantillons sont l'un des principaux moyens pour les observateurs extérieurs de juger si une revendication de rançongiciel est crédible.

Ce qui est confirmé et ce qui ne l'est pas

Il est utile de séparer les faits des affirmations.

Ce qui est rapporté :

• Un groupe de rançongiciels a publiquement revendiqué une violation chez Deloitte.
• La revendication indique que des fichiers sensibles ont été exposés.
• Des revendications liées visant d'autres entreprises ont été listées parallèlement, avec des délais de rançon.

Ce qui n'est pas établi :

• Si la violation a réellement eu lieu.
• Quel type de données, le cas échéant, a été pris.
• Si des individus, des clients ou les clients des clients sont concernés.
• Si Deloitte a confirmé, démenti ou commenté la revendication d'une manière qui tranche la question.

Les groupes de rançongiciels exagèrent parfois ou fabriquent des revendications pour faire pression sur les victimes ou gagner en notoriété. D'autres s'avèrent exactes. Sans échantillons publiés ni confirmation de l'entreprise, il n'existe aucune base solide pour considérer la revendication comme prouvée, ni pour la rejeter.

Pourquoi les violations chez des fournisseurs tiers exposent les consommateurs

Deloitte est un cabinet de conseil, et les entreprises de ce type traitent souvent des informations pour le compte d'autres organisations. C'est l'angle qui rend cette revendication notable même si elle n'est pas vérifiée. Si un prestataire de services professionnels détient des fichiers de ses clients, une compromission à cet endroit pourrait en théorie exposer des informations sur les employés, les clients ou les partenaires de ces clients, dont aucun n'avait de relation directe avec le prestataire.

C'est le problème fondamental du risque lié aux tiers. Les consommateurs ne peuvent généralement pas voir avec quels fournisseurs travaille une entreprise en laquelle ils ont confiance. Ils acceptent une politique de confidentialité avec une organisation, mais leurs données peuvent transiter par plusieurs autres. Quand quelque chose va mal chez un fournisseur, la notification peut être lente, et les personnes peuvent ne l'apprendre que par une lettre d'une entreprise qu'elles reconnaissent à peine.

Pour être clair, l'article ne dit pas que cela s'est produit ici. C'est un rappel de la façon dont l'exposition peut se propager lorsqu'elle se produit dans des incidents similaires.

Comment vérifier si vos données peuvent être exposées

Parce que rien n'a été confirmé, il n'existe pas de liste officielle des personnes concernées à consulter. Vous pouvez tout de même prendre des mesures sensées dès maintenant :

• Recherchez vos adresses e-mail dans un service de notification de violations. Des outils comme Have I Been Pwned vous permettent de voir si votre adresse apparaît dans des ensembles de données de violations connues. Pour un exemple de la façon dont de nouvelles entrées y apparaissent, consultez notre rapport sur la violation Crunchbase ajoutant 559 908 e-mails à Have I Been Pwned. Notez qu'une revendication comme celle-ci peut ne jamais apparaître dans un tel service à moins que des données ne soient réellement publiées.
• Inscrivez-vous aux notifications. De nombreux services de violation vous alerteront si votre adresse apparaît dans un futur ensemble de données.
• Surveillez votre courrier et votre boîte de réception. Si une entreprise avec laquelle vous traitez est concernée, vous pourriez recevoir un avis formel. Vérifiez-le en vous rendant directement sur le site officiel de l'entreprise plutôt qu'en cliquant sur les liens du message.
• Soyez vigilant face au hameçonnage. Les nouvelles d'une violation sont souvent utilisées comme appât dans des e-mails frauduleux. Traitez avec prudence les messages inattendus concernant cet incident.

Ce que cela signifie pour vous

Pour la plupart des gens, le risque pratique actuel est d'une faible certitude plutôt que d'une grande alarme. Vous n'avez pas besoin de prendre des mesures drastiques face à une revendication non vérifiée. Mais le moment est propice pour renforcer des habitudes utiles dans n'importe quel scénario de violation.

Utilisez des mots de passe uniques pour chaque compte, idéalement avec un gestionnaire de mots de passe. Activez l'authentification multifacteur lorsqu'elle est proposée. Passez en revue vos comptes pour détecter toute activité inhabituelle, et envisagez de placer un gel de crédit si vous recevez un avis indiquant que des données personnelles sensibles ont été impliquées. Ces mesures limitent les dommages, que la revendication contre Deloitte s'avère vraie, fausse ou quelque part entre les deux.

Points clés à retenir

• La revendication de violation de données chez Deloitte n'est pas vérifiée, et aucun échantillon de données n'a été publié par le groupe.
• Les compromissions chez des fournisseurs et des cabinets de conseil peuvent affecter des personnes indirectement, c'est pourquoi elles importent pour les consommateurs.
• Vérifiez vos adresses e-mail avec un service de notification de violations tel que Have I Been Pwned, et activez les alertes.
• Restez sceptique face aux e-mails inattendus faisant référence à l'incident.
• Lisez notre couverture connexe des revendications du groupe de rançongiciels Gentlemen, y compris l'absence d'échantillons de données publiés, et attendez une confirmation officielle avant de tirer des conclusions.

Nous continuerons à suivre cette revendication de violation de données chez Deloitte et tiendrons les lecteurs informés si des détails vérifiés émergent.