Ce que TCS affirme s’être produit et ce qu’elle nie

Tata Consultancy Services (TCS) a informé les bourses lundi avoir reçu des alertes de renseignement sur les menaces indiquant une possible exposition de certaines informations relatives à ses employés. L’entreprise a déclaré avoir lancé une enquête interne en réponse, et que cette enquête n’a trouvé aucune preuve crédible d’une violation touchant ses propres systèmes ou les environnements de ses clients.

Il s’agit d’un démenti remarquablement étroit. TCS ne prétend pas qu’il ne s’est rien passé ; elle affirme que les alertes reçues ne se sont pas traduites par un accès non autorisé confirmé à son infrastructure ou aux données de ses clients. Pour une entreprise de la taille de TCS, comptant des centaines de milliers d’employés et des contrats couvrant les secteurs bancaire, de la distribution et gouvernemental dans le monde entier, cette distinction a son importance. Les allégations de fuite de données chez TCS portent sur des informations liées aux employés, et non sur les systèmes des clients, selon la déclaration de l’entreprise elle-même.

En quoi les alertes de renseignement sur les menaces diffèrent des violations confirmées

Il est utile de comprendre ce qu’est réellement une « alerte de renseignement sur les menaces », car il s’agit d’une réalité différente de la divulgation d’une violation confirmée. Ces alertes proviennent généralement de sociétés de sécurité tierces, de services de surveillance du dark web ou de chercheurs qui repèrent des échantillons de données, des messages sur des forums ou des tentatives d’extorsion mentionnant une entreprise nommément. L’alerte elle-même est un signal que quelque chose est revendiqué ou proposé, pas la preuve qu’un réseau d’entreprise a effectivement été compromis.

Les entreprises reçoivent régulièrement ce type d’alertes et doivent les évaluer : les données sont-elles authentiques, récentes, correspondent-elles à de véritables enregistrements d’employés, et proviennent-elles des propres systèmes de l’entreprise ou d’une source totalement extérieure (un fournisseur tiers, une ancienne fuite recyclée et rebaptisée, ou une source sans aucun lien) ? La déclaration de TCS selon laquelle elle n’a trouvé « aucune preuve crédible » suggère que son enquête a conclu que les données alléguées ne correspondaient pas, n’étaient pas actuelles ou ne provenaient pas de son propre environnement. Mais cette conclusion repose sur l’examen interne de TCS, et les parties extérieures n’ont généralement aucun moyen indépendant de la vérifier tant que d’autres détails ne sont pas rendus publics, si jamais ils le sont.

Pourquoi les groupes d’extorsion ciblent les grands fournisseurs de services informatiques

Les grandes sociétés de services informatiques sont des cibles attrayantes précisément en raison de leur taille et de leur réseau de relations clients. Un seul prestataire comme TCS se trouve au carrefour des systèmes de dizaines de grandes entreprises, ce qui fait de toute allégation de compromission, réelle ou exagérée, un levier précieux pour les groupes d’extorsion. Même une allégation non vérifiée peut faire la une des journaux, peser sur le cours de l’action d’une entreprise et créer le doute chez les clients quant à la sécurité de leurs propres flux de données.

Cette dynamique n’est pas propre à TCS. Les allégations d’exposition de données concernant de grandes organisations suivent souvent un schéma familier : un acteur malveillant ou une annonce sur le dark web fait surface, l’organisation enquête, et le public reste en attente d’une résolution qui, parfois, n’arrive jamais complètement. L’Organisation indienne de recherche et de développement pour la défense (DRDO) a connu une situation similaire lorsque des informations ont fait état de données sensibles proposées à la vente sur le dark web, une allégation qui a pris du temps à vérifier et qui s’est étoffée par la suite lorsque 31 Go de prétendus fichiers de défense ont été mis en ligne publiquement. Ces deux cas illustrent à quel point les allégations et les confirmations peuvent suivre des calendriers très différents, et pourquoi se fier uniquement à la déclaration initiale d’une entreprise, sans suivi, peut laisser de véritables questions sans réponse.

Ce que les employés de TCS et les entreprises clientes devraient vérifier dès maintenant

Pour les employés actuels et anciens de TCS, une déclaration d’entreprise indiquant « aucune preuve crédible de violation » est rassurante, mais ne remplace pas une vigilance personnelle. Il est utile de vérifier si votre adresse e-mail professionnelle ou vos identifiants personnels apparaissent dans des bases de données de violations indexées publiquement, de surveiller les tentatives de connexion inhabituelles sur les comptes liés à votre emploi et d’être attentif aux tentatives d’hameçonnage qui mentionnent votre employeur par son nom, car les données d’employés divulguées ou revendiquées sont souvent utilisées pour rendre les e-mails frauduleux plus convaincants.

Les entreprises clientes qui font appel à TCS pour leurs services informatiques devraient demander à leurs équipes de gestion des risques fournisseurs des précisions : quelles données auraient été exposées, quelle est leur ancienneté, et quel suivi est mis en place pour l’avenir. « Aucune preuve de violation dans les environnements clients » est un bon point de départ, mais les entreprises clientes ont généralement des droits contractuels leur permettant de demander plus de détails, et exercer ce droit est raisonnable compte tenu de la quantité de données opérationnelles et financières qui transitent par les grands prestataires informatiques.

Ce que cela signifie pour vous

Que vous soyez employé ou client, l’approche la plus prudente face aux allégations de fuite de données chez TCS est de considérer la déclaration de l’entreprise comme un élément d’information parmi d’autres, et non comme le dernier mot. Les alertes de renseignement sur les menaces peuvent être erronées, obsolètes ou basées sur des données recyclées, mais elles peuvent aussi être les premiers signaux d’un problème plus grave qui met des semaines à se confirmer. Attendre passivement d’autres mises à jour n’est pas une stratégie ; vérifier sa propre exposition de manière indépendante en est une.

Points d’action concrets

  • Recherchez vos adresses e-mail professionnelles et personnelles dans des outils de surveillance des violations réputés pour voir si elles apparaissent dans des fuites connues.
  • Activez l’authentification multifacteur sur tous les comptes liés au travail si ce n’est pas déjà fait.
  • Soyez particulièrement prudents avec les e-mails ou appels mentionnant votre employeur, surtout ceux qui vous demandent de vérifier des identifiants ou de cliquer sur des liens.
  • Si vous travaillez dans une entreprise qui sous-traite avec TCS, demandez à votre équipe de sécurité ou des achats quelles assurances spécifiques le fournisseur a données au-delà de la déclaration publique.
  • Surveillez les reportages de suivi, car les déclarations initiales « aucune violation constatée » émises par de grands fournisseurs ne marquent pas toujours la fin de l’histoire.