Il gruppo ransomware Everest ha inserito PwC nel suo sito di estorsione, mettendo sotto i riflettori uno dei più grandi network di servizi professionali al mondo. La rivendicazione non è verificata e non è stato dimostrato che PwC abbia perso dati. Anche così, la rivendicazione di esposizione dati PwC da parte del ransomware Everest è un utile promemoria di come una violazione presso un consulente possa toccare persone che non hanno mai avuto a che fare con l'attaccante, né con l'azienda stessa.

Cosa rivendica Everest su PwC

Secondo le testate di sicurezza che stanno monitorando la pubblicazione, Everest afferma di aver rubato 590,69 GB di dati riconducibili a PwC. Un riepilogo della pubblicazione indica il bottino in 108.426 file e descrive il materiale come registrazioni dei dipendenti e dati personali. Altri articoli menzionano documenti delle risorse umane e materiale di formazione. Un post su LinkedIn che diffonde la rivendicazione è andato oltre, facendo riferimento a dati dei dipendenti e di audit, ma quella descrizione proviene da commenti sulla rivendicazione e non da prove verificate.

L'avvertenza importante è che nulla di tutto ciò è stato confermato. Un bollettino di sicurezza ha osservato che la pubblicazione non era accompagnata da campioni di dati, dettagli tecnici o prove indipendenti. I gruppi ransomware inseriscono le vittime per creare pressione, e una pubblicazione da sola non prova che i dati siano stati sottratti, che siano autentici o che provengano dai sistemi di PwC come affermato. Finché PwC non conferma un incidente o non emergono prove credibili, i lettori dovrebbero considerare i numeri sopra riportati come accuse.

Perché i consulenti di terze parti sono bersagli attraenti per l'estorsione

Le società di servizi professionali detengono molte informazioni che appartengono ad altre persone. Revisori, consulenti e consulenti fiscali ricevono registrazioni finanziarie, contratti, dati dei dipendenti e documenti interni per poter svolgere il proprio lavoro. Questi file spesso si trovano in un unico luogo, il che rende una singola intrusione riuscita potenzialmente preziosa.

È qui che conta il divario tra proprietario dei dati e detentore dei dati. Un'azienda che affida documenti a un consulente potrebbe non venire mai a sapere che un attaccante li possiede, a meno che il consulente non lo divulghi. Gli individui sono ancora più distanti: un dipendente i cui dati compaiono nei file di un cliente non ha alcun rapporto diretto con il consulente.

C'è anche un effetto leva. Le moderne bande ransomware raramente si affidano solo alla crittografia. Prima rubano i dati e minacciano di pubblicarli, ed è la tattica che descriviamo nella nostra spiegazione sulla doppia estorsione ransomware. Un'azienda che serve molti clienti sensibili ha forti ragioni per evitare una fuga di dati pubblica, e gli attaccanti lo sanno. Nominare un bersaglio di alto profilo su un sito di leak attira comunque l'attenzione, indipendentemente dal fatto che la rivendicazione sia fondata.

Cosa dovrebbero verificare ora clienti e individui

Non c'è una violazione confermata a cui rispondere, quindi l'obiettivo è una preparazione calma, non il panico. Vale la pena adottare alcuni passi pratici:

  • Tenete d'occhio le comunicazioni ufficiali. Se PwC o uno dei vostri consulenti confermasse un incidente, le notifiche di solito arrivano via email o posta. Leggetele attentamente e conservatene una copia.
  • Verificate prima di cliccare. Rivendicazioni come questa spesso innescano phishing che imita un avviso di violazione. Andate direttamente sul sito web ufficiale dell'organizzazione invece di seguire link in messaggi inaspettati.
  • Chiedete ai vostri referenti. Se la vostra azienda lavora con PwC, chiedete al vostro referente account o al team legale se sono stati informati di qualcosa e quali dati sono stati condivisi.
  • Rivedete ciò che avete inviato. Fate un elenco approssimativo dei dati personali, finanziari o dei dipendenti che la vostra organizzazione ha trasmesso a consulenti esterni. Non potete valutare il rischio senza sapere cosa c'è là fuori.
  • Tenete sotto controllo gli account. Se siete dipendenti o clienti di un'azienda che si avvale di grandi consulenti, monitorate le attività bancarie e di credito e siate cauti con chiamate o email non richieste che fanno riferimento al vostro lavoro o alle vostre finanze.

Come limitare l'esposizione quando i consulenti detengono i vostri dati

Non potete controllare completamente come una terza parte protegge le vostre informazioni, ma potete ridurre ciò che detiene e per quanto tempo le conserva.

Condividete il minimo. Inviate solo i documenti richiesti da un incarico. Oscurate o rimuovete i campi non necessari, come le date di nascita complete o i numeri di documento d'identità governativi.

Stabilite termini di conservazione. I contratti possono specificare per quanto tempo un consulente conserva i dati dopo la fine di un progetto e richiedere la cancellazione o la restituzione successiva. I vecchi file che restano sui server di un'azienda sono un'esposizione senza alcun beneficio.

Chiedete informazioni su sicurezza e notifica. Le organizzazioni possono richiedere dettagli su come i consulenti proteggono i dati e con quale rapidità devono informare i clienti di un incidente sospetto. Una notifica più rapida dà a tutti più tempo per reagire.

Adottate una buona igiene degli account. Se utilizzate un portale per scambiare documenti, usate una password unica e l'autenticazione a più fattori. Questo non fermerà un attacco ai sistemi del consulente stesso, ma protegge gli account che controllate.

Imparate da casi comparabili. Il modello di pressione non è unico per questa pubblicazione. Nel caso ATB che coinvolge un gruppo che si fa chiamare DataSuckers, una richiesta di riscatto era abbinata a rivendicazioni di un gran numero di persone colpite. Leggere come si evolvono quelle situazioni vi aiuta a riconoscere come appare una notifica credibile e come appare un vanteria non verificata.

Cosa significa per voi

Se non avete alcun legame con PwC, nulla di questa rivendicazione richiede un'azione oggi. Se lavorate per o con l'azienda, o se il vostro datore di lavoro condivide dati con grandi consulenti, la risposta sensata è restare informati, evitare supposizioni in entrambe le direzioni e prestare attenzione alle comunicazioni ufficiali. La lezione più ampia vale per tutti: i vostri dati possono trovarsi presso organizzazioni che non avete mai scelto, e il rischio dipende in parte da quanto pochi di essi detengono.

Punti chiave

La rivendicazione di esposizione dati PwC da parte del ransomware Everest rimane non verificata, senza campioni pubblici né conferme indipendenti al momento della pubblicazione. Tuttavia, mostra perché i consulenti sono bersagli attraenti e perché i clienti dovrebbero sapere cosa hanno condiviso. Comprendete come funziona la doppia estorsione, tenete d'occhio le notifiche di violazione dai vostri consulenti e trattate con cautela i messaggi inaspettati su qualsiasi incidente. Leggere la nostra spiegazione sulla doppia estorsione e il caso ATB è un buon passo successivo se volete vedere come tendono a evolversi queste situazioni.