デロイトのデータ侵害主張：Gentlemenグループが企業名を挙げる

ランサムウェアグループがデロイトに侵害を仕掛け、機密ファイルを暴露したと主張している。現時点で、デロイトのデータ侵害主張は主張にとどまっている。何が盗まれたのか、あるいはそもそも何かが盗まれたのかについて、我々が入手できる資料から検証された詳細は確立されていない。それでも、この話を理解する価値はある。なぜなら、あるプロフェッショナルサービス企業での侵害が、その名前を聞いたこともない人々にまで波及する可能性を示しているからだ。

ランサムウェアグループが主張している内容

報道元によると、ランサムウェアグループがデロイトに侵害を仕掛け、機密ファイルへのアクセスを得たと主張している。報道は、報告されているリスクの内容を中心に主張を組み立てているが、盗まれたデータの確認された目録は提供していない。

この主張は、以前の報道で取り上げたパターンに当てはまる。Gentlemenランサムウェアグループは、MoneyGramやKFCへの侵害も主張し、それぞれに身代金の期限を設定している。MoneyGram、デロイト、KFCに関するGentlemenランサムウェアのリストに関する我々の報道では、同グループがデータサンプルを一切公開していないことに言及している。この点は重要である。なぜなら、サンプルは外部者がランサムウェアの主張が信憑性があるかどうかを判断する主要な手段の一つだからだ。

確認されていることと、そうでないこと

事実と主張を分けて考えると役立つ。

報道されていること:

• ランサムウェアグループがデロイトへの侵害を公に主張した。
• その主張では、機密ファイルが暴露されたとされている。
• 他の企業に対する関連する主張が、身代金の期限とともに並べてリストされている。

確立されていないこと:

• 侵害が実際に起きたかどうか。
• どのような種類のデータが、もし盗まれたとして、奪われたのか。
• 個人、顧客、または顧客の顧客が影響を受けているかどうか。
• デロイトがこの主張を確認、否定、または問題を決着させる形でコメントしたかどうか。

ランサムウェアグループは、被害者に圧力をかけたり知名度を得たりするために、主張を誇張したり捏造したりすることがある。一方で、正確であることが判明する場合もある。公開されたサンプルや企業からの確認がなければ、主張を証明されたものとして扱う、あるいは却下する健全な根拠はない。

サードパーティベンダーの侵害が消費者を危険にさらす理由

デロイトはコンサルティング企業であり、同業の企業はしばしば他の組織に代わって情報を扱う。これが、検証されていないながらもこの主張を注目に値するものにしている角度である。プロフェッショナルサービスプロバイダーがクライアントのファイルを保有している場合、そこでの侵害は理論上、それらのクライアントの従業員、顧客、またはパートナーに関する情報を暴露する可能性があり、そのいずれもプロバイダーと直接の関係を持っていない。

これがサードパーティリスクの核心的な問題である。消費者は通常、信頼する企業がどのベンダーと取引しているかを見ることができない。彼らは一つの組織とプライバシーポリシーに同意するが、そのデータは他の複数の組織を通過する可能性がある。ベンダーで問題が発生した場合、通知は遅れることがあり、人々はほとんど見覚えのない企業からの手紙を通じて初めて知ることになるかもしれない。

明確にしておくと、この記事はここでそのようなことが起きたとは述べていない。類似のインシデントで実際に起きた場合に、暴露がどのように伝播しうるかを思い出させるものだ。

自分のデータが暴露されている可能性を確認する方法

何も確認されていないため、照合できる影響を受けた人々の公式リストは存在しない。それでも今、賢明な措置を取ることはできる。

• 侵害通知サービスでメールアドレスを検索する。 Have I Been Pwnedなどのツールを使えば、あなたのアドレスが既知の侵害データセットに含まれているかどうかを確認できる。新しいエントリがそこにどのように表示されるかの例については、Crunchbaseの侵害で559,908件のメールがHave I Been Pwnedに追加に関する我々の報告を参照されたい。このような主張は、データが実際に公開されない限り、そのようなサービスに決して表示されない可能性があることに注意されたい。
• 通知に登録する。 多くの侵害サービスは、あなたのアドレスが将来のデータセットに表示された場合に警告してくれる。
• 郵便と受信トレイを監視する。 あなたが取引している企業が影響を受けた場合、正式な通知を受け取る可能性がある。メッセージ内のリンクをクリックするのではなく、企業の公式サイトに直接アクセスして確認されたい。
• フィッシングに警戒する。 侵害のニュースは、詐欺メールの餌としてしばしば利用される。このインシデントに関する予期しないメッセージは慎重に扱われたい。

これがあなたにとって意味すること

ほとんどの人にとって、現時点での実際のリスクは、高い警戒ではなく低い確実性である。検証されていない主張に対して抜本的な行動を取る必要はない。しかし、この瞬間は、あらゆる侵害シナリオで役立つ習慣を引き締める良いきっかけとなる。

各アカウントに固有のパスワードを使用し、理想的にはパスワードマネージャーを使うこと。提供されている場合は多要素認証を有効にすること。アカウントに見覚えのない活動がないか確認し、機密性の高い個人情報が関与していたという通知を受け取った場合は、信用停止を検討されたい。これらの措置は、デロイトの主張が真実であれ、虚偽であれ、その中間であれ、被害を限定する。

主なポイント

• デロイトのデータ侵害主張は検証されておらず、グループによるデータサンプルの公開はない。
• ベンダーやコンサルティング企業の侵害は、人々に間接的に影響を与える可能性があり、それが消費者にとって重要な理由である。
• Have I Been Pwnedなどの侵害通知サービスでメールアドレスを確認し、アラートを有効にすること。
• このインシデントに言及する予期しないメールには懐疑的であり続けること。
• 公開されたデータサンプルの欠如を含む、Gentlemenランサムウェアグループの主張に関する関連報道を読み、結論を出す前に公式の確認を待つこと。

我々はこのデロイトのデータ侵害主張を引き続き追跡し、検証された詳細が明らかになれば読者に更新する。