Cosa dice TCS che è successo e cosa nega

Lunedì, Tata Consultancy Services (TCS) ha comunicato alle borse di aver ricevuto allerte di threat intelligence che indicavano la possibile esposizione di alcune informazioni dei dipendenti. L’azienda ha dichiarato di aver avviato un’indagine interna in risposta e che tale indagine non ha trovato prove credibili di una violazione che abbia interessato i propri sistemi o gli ambienti dei clienti.

Si tratta di una smentita notevolmente ristretta. TCS non sostiene che non sia accaduto assolutamente nulla; afferma che le allerte ricevute non si sono tradotte in un accesso non autorizzato confermato alla propria infrastruttura o ai dati dei clienti. Per un’azienda delle dimensioni di TCS, con centinaia di migliaia di dipendenti e contratti che coprono clienti bancari, retail e governativi in tutto il mondo, questa distinzione è importante. Secondo la dichiarazione dell’azienda, le rivendicazioni di fuga di dati relativi a TCS riguardano informazioni sui dipendenti, non i sistemi dei clienti.

In che modo le allerte di threat intelligence differiscono dalle violazioni confermate

Vale la pena capire cosa sia realmente un’“allerta di threat intelligence”, perché si tratta di una cosa diversa dalla divulgazione di una violazione confermata. Queste allerte provengono tipicamente da società di sicurezza terze, servizi di monitoraggio del dark web o ricercatori che individuano campioni di dati, post su forum o richieste di estorsione che citano un’azienda per nome. L’allerta di per sé è un segnale che qualcosa viene rivendicato o offerto, non la prova che la rete di un’azienda sia stata effettivamente compromessa.

Le aziende ricevono abitualmente queste allerte e devono classificarle: i dati sono autentici? Sono recenti? Corrispondono a registri reali dei dipendenti? Provengono dai sistemi propri dell’azienda o da fonti completamente diverse (un fornitore terzo, una vecchia fuga riciclata e rinominata, o una fonte completamente non correlata)? L’affermazione di TCS di aver trovato “nessuna prova credibile” suggerisce che la sua indagine abbia concluso che i presunti dati o non erano verificati, non erano attuali o non provenivano dal proprio ambiente. Ma questa conclusione si basa sulla revisione interna di TCS e, in generale, soggetti esterni non hanno un modo indipendente per verificarla finché non emergano ulteriori dettagli, ammesso che emergano.

Perché i gruppi di estorsione prendono di mira i grandi fornitori di servizi IT

Le grandi aziende di servizi IT sono bersagli attraenti proprio per la loro portata e la loro rete di relazioni con i clienti. Un singolo fornitore come TCS si trova all’intersezione dei sistemi di decine di grandi imprese, il che rende qualsiasi rivendicazione di compromissione, reale o esagerata, una leva preziosa per i gruppi di estorsione. Anche una rivendicazione non verificata può generare titoli, influenzare il prezzo delle azioni di un’azienda e creare dubbi tra i clienti sulla sicurezza delle proprie pipeline di dati.

Questa dinamica non è esclusiva di TCS. Le rivendicazioni di esposizione di dati che coinvolgono grandi organizzazioni tendono a seguire uno schema familiare: un attore delle minacce o un annuncio sul dark web emerge, l’organizzazione indaga e il pubblico resta in attesa di una risoluzione che a volte non arriva mai completamente. L’Organizzazione per la ricerca e lo sviluppo della difesa indiana (DRDO) ha affrontato una situazione simile quando sono emerse segnalazioni di dati sensibili messi in vendita sul dark web, una rivendicazione che ha richiesto tempo per essere verificata e che si è poi ampliata quando 31 GB di presunti file della difesa sono stati pubblicati pubblicamente. Entrambi i casi illustrano come rivendicazioni e conferme possano avere tempistiche molto diverse e perché affidarsi esclusivamente alla dichiarazione iniziale di un’azienda, senza dare seguito, possa lasciare senza risposta domande reali.

Cosa dovrebbero verificare ora i dipendenti TCS e le aziende clienti

Per i dipendenti attuali ed ex di TCS, una dichiarazione aziendale di “nessuna prova credibile di violazione” è rassicurante ma non sostituisce la vigilanza personale. Vale la pena verificare se il proprio indirizzo e-mail lavorativo o gli identificatori personali compaiono in database di violazioni pubbliche, monitorare tentativi di accesso sospetti su account legati al proprio impiego e stare attenti ai tentativi di phishing che citano il proprio datore di lavoro per nome, poiché i dati dei dipendenti trapelati o rivendicati vengono spesso utilizzati per rendere più convincenti le e-mail fraudolente.

Le aziende clienti che si affidano a TCS per i servizi IT dovrebbero chiedere ai propri team di gestione del rischio dei fornitori dettagli specifici: quali dati sarebbero stati esposti, quanto sono datati e quali monitoraggi sono previsti in futuro. “Nessuna prova di violazione negli ambienti dei clienti” è un buon punto di partenza, ma i clienti aziendali hanno generalmente il diritto contrattuale di richiedere maggiori dettagli ed esercitare tale diritto è ragionevole, considerata la quantità di dati operativi e finanziari che fluisce attraverso i grandi fornitori IT.

Cosa significa per te

Che tu sia un dipendente o un cliente, l’approccio più sicuro alle rivendicazioni di fuga di dati di TCS è considerare la dichiarazione dell’azienda come un singolo dato, non come la parola definitiva. Le allerte di threat intelligence possono essere errate, obsolete o basate su dati riciclati, ma possono anche rappresentare segnali precoci di qualcosa di più grave che richiede settimane per essere pienamente confermato. Aspettare passivamente ulteriori aggiornamenti non è una strategia; verificare autonomamente la propria esposizione sì.

Punti chiave da mettere in pratica

  • Cerca i tuoi indirizzi e-mail lavorativi e personali in strumenti affidabili di monitoraggio delle violazioni per vedere se compaiono in fughe di dati note.
  • Attiva l’autenticazione a più fattori su tutti gli account legati al lavoro, se non l’hai già fatto.
  • Presta particolare attenzione a e-mail o chiamate che fanno riferimento al tuo datore di lavoro, specialmente quelle che chiedono di verificare credenziali o fare clic su link.
  • Se lavori in un’azienda che ha contratti con TCS, chiedi al tuo team di sicurezza o approvvigionamento quali rassicurazioni specifiche il fornitore ha fornito oltre alla dichiarazione pubblica.
  • Tieni d’occhio gli aggiornamenti futuri, perché le dichiarazioni iniziali di “nessuna violazione riscontrata” da parte di grandi fornitori non sempre segnano la fine della storia.