Alerte de fuite de données des employés de TCS : 800 000 enregistrements revendiqués

Ce que TCS a confirmé concernant la fuite présumée

Tata Consultancy Services (TCS), l'un des plus grands fournisseurs de services informatiques au monde, a confirmé avoir reçu des alertes de renseignement sur les menaces signalant une possible exposition de données d'employés. Selon les informations rapportées, une annonce est apparue en ligne affirmant contenir plus de 800 000 enregistrements d'employés de TCS, prétendument extraits de l'environnement cloud Azure de l'entreprise à l'aide d'identifiants compromis. Les informations exposées comprendraient les noms complets, les identifiants d'employés et les adresses e-mail, certains enregistrements étant décrits comme datant de plus de quatre ans.

TCS a lancé une enquête interne après avoir reçu les alertes et a déclaré n'avoir trouvé aucune preuve crédible d'une compromission de ses systèmes centraux ou des environnements de ses clients. L'entreprise a indiqué que les données des clients ne semblent pas avoir été impactées et que des mesures de protection sont en place depuis plus de deux ans. Pour les dernières déclarations officielles et les démentis, TCS a publiquement abordé l'incident, que nous avons couvert dans notre article sur le démenti de TCS après l'alerte de fuite de données d'employés.

Il convient de noter la distinction entre une fuite présumée et une fuite confirmée. Les acteurs malveillants proposent fréquemment des données volées à la vente ou à l'échange sur les forums du dark web, et l'ancienneté ou l'authenticité de ces données n'est pas toujours vérifiable au moment de leur mise en ligne. La position de TCS est que les données référencées semblent anciennes et qu'aucune compromission active des systèmes en contact avec la clientèle n'a été identifiée.

Pourquoi les fuites d'identifiants d'employés créent un risque en aval pour les clients

C'est là que l'alerte de fuite de données des employés de TCS prend une importance qui dépasse TCS elle-même. TCS sert de colonne vertébrale informatique externalisée pour une vaste gamme d'entreprises mondiales dans les secteurs bancaire, de la santé, du commerce de détail et gouvernemental. Lorsqu'un fournisseur de services informatiques de cette envergure subit ne serait-ce qu'une compromission présumée d'identifiants, les effets en cascade peuvent s'étendre bien au-delà de son propre système de paie.

Les identifiants d'employés sont fréquemment le point d'entrée pour des intrusions plus vastes. Si des attaquants parviennent à accéder à des identifiants de connexion légitimes d'employés pour des environnements cloud comme Azure, ils peuvent potentiellement pivoter vers des systèmes qui touchent aux données des clients, aux outils internes ou aux intégrations tierces. C'est précisément pourquoi les alertes de renseignement sur les menaces mentionnant un fournisseur comme TCS déclenchent un tel niveau d'examen : les employés de l'entreprise détiennent souvent des identifiants d'accès liés à l'infrastructure des clients dans le cadre de la prestation de services courante.

Même lorsqu'une entreprise comme TCS ne trouve aucune preuve que les environnements clients ont été touchés, l'incident fonctionne néanmoins comme un test de résistance du risque fournisseur. Les entreprises qui dépendent de grandes sociétés d'externalisation informatique devraient considérer ces alertes comme des rappels pour examiner les contrôles d'accès, l'hygiène des identifiants et les pratiques de surveillance que leurs fournisseurs maintiennent, et pas seulement leurs propres défenses internes.

Comment vérifier si vos données ont été exposées

Si vous êtes un employé actuel ou ancien de TCS, ou si vous travaillez pour une entreprise partenaire de TCS, voici quelques étapes pratiques pour déterminer si vos informations peuvent faire partie de l'ensemble de données exposé :

• Surveillez les communications officielles de TCS ou de votre employeur concernant l'incident, car les entreprises sont souvent tenues d'informer directement les personnes concernées.
• Utilisez des services de surveillance des fuites réputés qui analysent les ensembles de données divulguées connus à la recherche de votre adresse e-mail ou de votre identifiant d'employé, si vous y avez accès via l'équipe de sécurité de votre organisation.
• Méfiez-vous des e-mails ou messages non sollicités faisant référence à vos coordonnées professionnelles, votre identifiant d'employé ou des systèmes internes de TCS, car il pourrait s'agir de tentatives d'hameçonnage exploitant les informations divulguées.
• Si vous travaillez dans une entreprise qui externalise ses opérations informatiques auprès de TCS, demandez à votre équipe de sécurité interne ou de risque fournisseur si elle a reçu une évaluation ou une confirmation concernant l'étendue de l'incident.

Ce que cela signifie pour vous

Pour la plupart des clients de TCS, la position de l'entreprise est qu'il n'existe aucune preuve crédible d'une fuite affectant les systèmes des clients. Cela dit, une exposition présumée de données d'employés, en particulier des données liées aux identifiants cloud, n'est pas à écarter d'emblée. Même des ensembles de données anciens ou partiels peuvent être instrumentalisés pour des attaques d'hameçonnage, d'ingénierie sociale ou de bourrage d'identifiants contre les individus et les organisations pour lesquelles ils travaillent.

Si vous êtes un employé dont les informations ont pu être incluses, le risque pratique concerne moins vos comptes clients que des tentatives d'hameçonnage ciblé utilisant votre nom, votre identifiant d'employé ou votre adresse e-mail. Si vous êtes un client professionnel de TCS, c'est le bon moment pour confirmer avec votre équipe de compte quelles mesures de protection sont en place et si l'une de vos données transite par les systèmes référencés dans l'alerte.

Mesures à prendre dès maintenant

Que vous soyez ou non directement concerné par cet incident, quelques bonnes habitudes sont très utiles :

• Changez les mots de passe de tous les comptes professionnels liés à des identifiants partagés avec des fournisseurs, et activez l'authentification multifacteur partout où elle n'est pas déjà active.
• Surveillez votre boîte de réception et les communications de votre employeur pour détecter les tentatives d'hameçonnage qui font référence à des données internes d'employés.
• Demandez à l'équipe informatique ou de sécurité de votre organisation si elle a évalué l'exposition liée aux fournisseurs tiers comme TCS.
• Suivez la couverture continue de la situation, y compris les démentis officiels et les mises à jour de TCS, pour rester informé à mesure que de nouveaux détails émergent.

L'alerte de fuite de données des employés de TCS est un rappel que même les grands fournisseurs informatiques à maturité sécuritaire élevée peuvent faire l'objet de revendications liées aux identifiants, et que la vigilance concernant les mots de passe, l'hameçonnage et le risque fournisseur reste l'une des défenses les plus efficaces à la disposition des employés comme des entreprises clientes.