Un gruppo ransomware ha rivendicato di aver violato Deloitte ed esposto file sensibili. Finora, la rivendicazione di violazione dei dati di Deloitte resta tale: una rivendicazione. Nessun dettaglio verificato su ciò che è stato preso, o se qualcosa sia stato preso, è stato stabilito nel materiale a nostra disposizione. Anche così, la storia vale la pena di essere compresa, perché mostra come una compromissione presso un'azienda di servizi professionali potrebbe propagarsi verso persone che non ne hanno mai sentito parlare.

Cosa sta rivendicando il gruppo ransomware

Secondo la fonte che riporta la notizia, un gruppo ransomware afferma di aver violato Deloitte e ottenuto accesso a file sensibili. Il report inquadra la rivendicazione attorno a ciò che sarebbe a rischio, ma non fornisce un inventario confermato dei dati rubati.

Questa rivendicazione segue un pattern trattato nei nostri precedenti report. Il gruppo ransomware Gentlemen ha rivendicato anche violazioni ai danni di MoneyGram e KFC, e ha fissato scadenze di riscatto per ciascuna. La nostra copertura de gli annunci del ransomware Gentlemen per MoneyGram, Deloitte e KFC rileva che il gruppo non ha rilasciato alcun campione di dati. Questo dettaglio conta, perché i campioni sono uno dei principali modi in cui gli osservatori esterni possono giudicare se una rivendicazione ransomware è credibile.

Cosa è confermato e cosa no

È utile separare i fatti dalle affermazioni.

Ciò che viene riportato:

  • Un gruppo ransomware ha pubblicamente rivendicato una violazione di Deloitte.
  • La rivendicazione afferma che sono stati esposti file sensibili.
  • Rivendicazioni correlate contro altre aziende sono state elencate accanto ad essa, con scadenze di riscatto.

Ciò che non è stabilito:

  • Se la violazione sia effettivamente avvenuta.
  • Quale tipo di dati, se ce ne sono, sia stato preso.
  • Se individui, clienti o clienti dei clienti siano interessati.
  • Se Deloitte abbia confermato, negato o commentato la rivendicazione in modo da chiarire la questione.

I gruppi ransomware talvolta esagerano o fabbricano rivendicazioni per fare pressione sulle vittime o ottenere notorietà. Altre volte si rivelano accurate. Senza campioni rilasciati o una conferma dall'azienda, non c'è alcuna base solida per trattare la rivendicazione come provata, né per respingerla.

Perché le violazioni dei fornitori terzi mettono a rischio i consumatori

Deloitte è una società di consulenza, e aziende come questa spesso gestiscono informazioni per conto di altre organizzazioni. È questo l'aspetto che rende questa rivendicazione degna di nota anche se non verificata. Se un fornitore di servizi professionali detiene file dei suoi clienti, una compromissione lì potrebbe in teoria esporre informazioni sui dipendenti, i clienti o i partner di quei clienti, nessuno dei quali aveva un rapporto diretto con il fornitore.

Questo è il problema centrale del rischio di terze parti. I consumatori tipicamente non possono vedere quali fornitori utilizza un'azienda di cui si fidano. Accettano un'informativa sulla privacy con un'organizzazione, ma i loro dati possono passare attraverso diverse altre. Quando qualcosa va storto presso un fornitore, la notifica può essere lenta, e le persone potrebbero venirne a conoscenza solo attraverso una lettera da un'azienda che a malapena riconoscono.

Per essere chiari, l'articolo non dice che questo sia accaduto in questo caso. È un promemoria di come l'esposizione può viaggiare quando si verifica in incidenti simili.

Come verificare se i tuoi dati potrebbero essere esposti

Poiché nulla è stato confermato, non esiste un elenco ufficiale di persone interessate da consultare. Puoi comunque adottare ora misure sensate:

  • Cerca i tuoi indirizzi email in un servizio di notifica delle violazioni. Strumenti come Have I Been Pwned ti permettono di vedere se il tuo indirizzo compare in set di dati di violazioni note. Per un esempio di come nuove voci compaiono lì, vedi il nostro report sulla violazione di Crunchbase che aggiunge 559.908 email a Have I Been Pwned. Nota che una rivendicazione come questa potrebbe non apparire mai in un tale servizio a meno che i dati non vengano effettivamente rilasciati.
  • Iscriviti alle notifiche. Molti servizi di violazione ti avviseranno se il tuo indirizzo compare in un futuro set di dati.
  • Monitora la tua posta e la tua casella di posta. Se un'azienda con cui hai a che fare è interessata, potresti ricevere una comunicazione formale. Verificala andando direttamente sul sito ufficiale dell'azienda invece di cliccare sui link nel messaggio.
  • Sii vigile contro il phishing. Le notizie di una violazione sono spesso usate come esca in email truffaldine. Tratta con cautela i messaggi inaspettati su questo incidente.

Cosa significa per te

Per la maggior parte delle persone, il rischio pratico in questo momento è di bassa certezza piuttosto che di alto allarme. Non devi intraprendere azioni drastiche per una rivendicazione non verificata. Ma il momento è un buon promemoria per rafforzare abitudini che aiutano in qualsiasi scenario di violazione.

Usa password uniche per ogni account, idealmente con un gestore di password. Attiva l'autenticazione a più fattori dove è offerta. Rivedi i tuoi account per attività sconosciute, e considera di bloccare il credito se ricevi una notifica che dettagli personali sensibili sono stati coinvolti. Questi passaggi limitano i danni sia che la rivendicazione di Deloitte si riveli vera, falsa o qualcosa nel mezzo.

Punti chiave

  • La rivendicazione di violazione dei dati di Deloitte non è verificata, e nessun campione di dati è stato rilasciato dal gruppo.
  • Le compromissioni di fornitori e società di consulenza possono colpire le persone indirettamente, ed è per questo che contano per i consumatori.
  • Controlla i tuoi indirizzi email con un servizio di notifica delle violazioni come Have I Been Pwned, e attiva gli avvisi.
  • Mantieni uno spirito critico verso email inaspettate che fanno riferimento all'incidente.
  • Leggi la nostra copertura correlata de le rivendicazioni del gruppo ransomware Gentlemen, inclusa la mancanza di campioni di dati rilasciati, e attendi una conferma ufficiale prima di trarre conclusioni.

Continueremo a seguire questa rivendicazione di violazione dei dati di Deloitte e aggiorneremo i lettori se emergeranno dettagli verificati.