Što TCS tvrdi da se dogodilo i što demantira

Tata Consultancy Services (TCS) je u ponedjeljak obavijestio burze da je primio obavještajna upozorenja o prijetnjama koja ukazuju na moguće izlaganje određenih podataka zaposlenika. Tvrtka je priopćila da je kao odgovor pokrenula internu istragu te da tom istragom nisu pronađeni vjerodostojni dokazi o proboju koji bi utjecao na njezine vlastite sustave ili okruženja klijenata.

To je izrazito usko demantiranje. TCS ne tvrdi da se ništa nije dogodilo; tvrdi da se upozorenja koja je primio nisu pretvorila u potvrđeni neovlašteni pristup njezinoj infrastrukturi ili podacima klijenata. Za tvrtku veličine TCS-a, sa stotinama tisuća zaposlenika i ugovorima koji obuhvaćaju bankarstvo, maloprodaju i državne klijente diljem svijeta, ta razlika je bitna. Prema tvrdnjama o curenju podataka TCS-a, radi se o informacijama vezanim uz zaposlenike, a ne o sustavima klijenata, stoji u priopćenju tvrtke.

Kako se obavještajna upozorenja o prijetnjama razlikuju od potvrđenih proboja

Vrijedno je razumjeti što je zapravo "obavještajno upozorenje o prijetnjama", jer se radi o nečem sasvim drugom od objave potvrđenog proboja. Ta upozorenja obično dolaze od neovisnih sigurnosnih tvrtki, servisa za nadzor dark weba ili istraživača koji uoče uzorke podataka, objave na forumima ili iznuđivačke tvrdnje koje spominju tvrtku imenom. Samo upozorenje signal je da se nešto tvrdi ili nudi, a ne dokaz da je mreža tvrtke zapravo kompromitirana.

Tvrtke redovito primaju ovakva upozorenja i moraju ih razvrstati: jesu li podaci autentični, jesu li nedavni, odgovaraju li stvarnim evidencijama zaposlenika i potječu li iz vlastitih sustava tvrtke ili sasvim negdje drugdje (od dobavljača treće strane, starog curenja recikliranog i preimenovanog ili potpuno nepovezanog izvora)? TCS-ova izjava da nije pronašao "nikakve vjerodostojne dokaze" sugerira da je istraga zaključila kako navodni podaci ili nisu provjereni, nisu aktualni ili ne potječu iz vlastitog okruženja. No, taj zaključak počiva na internoj reviziji TCS-a, a vanjske strane uglavnom nemaju neovisan način da ga potvrde dok ne izađu dodatni detalji, ako ikad i izađu.

Zašto iznuđivačke skupine ciljaju velike pružatelje IT usluga

Velike tvrtke za IT usluge privlačne su mete upravo zbog svoje veličine i mreže klijentskih odnosa. Jedan dobavljač poput TCS-a nalazi se na sjecištu sustava desetaka velikih poduzeća, što svaku tvrdnju o kompromitaciji, stvarnu ili preuveličanu, čini vrijednim sredstvom pritiska za iznuđivačke skupine. Čak i neprovjerena tvrdnja može generirati naslovnice, izvršiti pritisak na cijenu dionica tvrtke i stvoriti sumnju među klijentima o sigurnosti vlastitih podatkovnih tokova.

Ovakva dinamika nije jedinstvena za TCS. Tvrdnje o izlaganju podataka koje uključuju velike organizacije obično slijede poznati obrazac: pojavi se akter prijetnje ili oglas na dark webu, organizacija istraži, a javnost ostaje čekati razrješenje koje ponekad nikada u potpunosti ne stigne. Indijska Organizacija za obrambena istraživanja i razvoj suočila se sa sličnom situacijom kada su se pojavila izvješća o osjetljivim podacima ponuđenim na prodaju na dark webu, tvrdnja za čiju je provjeru trebalo vremena i koja se kasnije proširila kada je 31 GB navodnih obrambenih datoteka javno objavljeno. Oba slučaja ilustriraju kako tvrdnje i potvrde mogu ići vrlo različitim vremenskim slijedom i zašto oslanjanje isključivo na početnu izjavu tvrtke, bez daljnjeg praćenja, može ostaviti stvarna pitanja neodgovorenima.

Što bi zaposlenici TCS-a i klijentske tvrtke trebali sada provjeriti

Za sadašnje i bivše zaposlenike TCS-a, korporativna izjava "nema vjerodostojnih dokaza o proboju" je ohrabrujuća, ali nije zamjena za osobni oprez. Vrijedi provjeriti pojavljuje li se vaša poslovna e-adresa ili osobni identifikatori u javno indeksiranim bazama podataka o probojima, pratiti neuobičajene pokušaje prijave na račune povezane s vašim zaposlenjem te biti oprezan na phishing pokušaje koji spominju vašeg poslodavca imenom, jer se procurjeli ili navodno procurjeli podaci zaposlenika često koriste kako bi lažne poruke djelovale uvjerljivije.

Klijentske tvrtke koje se oslanjaju na TCS za IT usluge trebale bi od svojih timova za upravljanje rizicima dobavljača zatražiti konkretne informacije: koji su podaci navodno bili izloženi, koliko su stari i kakav je nadzor uspostavljen za budućnost. "Nema dokaza o proboju u okruženjima klijenata" korisna je polazna točka, ali korporativni klijenti uglavnom imaju ugovorno pravo zatražiti više detalja, a korištenje tog prava je razumno s obzirom na količinu operativnih i financijskih podataka koja protječe kroz velike IT dobavljače.

Što to znači za vas

Bilo da ste zaposlenik ili klijent, najsigurniji pristup tvrdnjama o curenju podataka TCS-a jest tretirati izjavu tvrtke kao jednu informaciju, a ne konačnu riječ. Obavještajna upozorenja o prijetnjama mogu biti pogrešna, zastarjela ili temeljena na recikliranim podacima, ali također mogu biti rana upozorenja na nešto ozbiljnije za što su potrebni tjedni da se u potpunosti potvrdi. Pasivno čekanje daljnjih ažuriranja nije strategija; neovisno provjeravanje vlastite izloženosti jest.

Praktični savjeti

  • Provjerite svoje poslovne i osobne adrese e-pošte u pouzdanim alatima za praćenje proboja kako biste vidjeli pojavljuju li se u nekim poznatim curenjima.
  • Omogućite višefaktorsku autentifikaciju na svim računima povezanima s poslom ako to već niste učinili.
  • Budite posebno oprezni s e-porukama ili pozivima koji spominju vašeg poslodavca, osobito onima koji od vas traže da potvrdite vjerodajnice ili kliknete poveznice.
  • Ako radite u tvrtki koja ima ugovor s TCS-om, pitajte svoj sigurnosni tim ili tim za nabavu kakva su konkretna jamstva dobavljač pružio izvan javne izjave.
  • Pratite naknadna izvješća, jer početne izjave velikih dobavljača "nije pronađen proboj" ne označavaju uvijek kraj priče.