ランサムウェアグループ「Everest」がPwCを恐喝サイトに掲載し、世界最大級のプロフェッショナルサービスネットワークの一つが注目を集めている。この主張は未確認であり、PwCがデータを喪失したことも示されていない。それでも、EverestのPwCデータ流出主張は、アドバイザー企業での侵害が、攻撃者と取引したことのない人々、あるいは企業自体と関わったことのない人々にまで影響を及ぼし得ることを思い起こさせる有益な事例である。

EverestがPwCについて主張している内容

この掲載を追跡しているセキュリティメディアによると、EverestはPwCに関連する590.69GBのデータを窃取したと主張している。掲載内容の要約の一つでは、その量を108,426ファイルとし、従業員記録および個人データであると説明している。他の報道では、人事記録や研修資料に言及している。この主張を拡散したLinkedInの投稿はさらに踏み込み、従業員データおよび監査データに言及したが、その説明は主張に対する論評に基づくものであり、検証された証拠に基づくものではない。

重要な注意点は、これらのいずれも確認されていないということである。あるセキュリティ速報は、この掲載にデータサンプル、技術的詳細、独立した証拠が伴っていないと指摘した。ランサムウェアグループは圧力をかけるために被害者を掲載するものであり、掲載だけではデータが窃取されたこと、それが本物であること、あるいは主張どおりPwCのシステムから来たものであることを証明するものではない。PwCがインシデントを確認するか、信頼できる証拠が現れるまで、読者は上記の数字をあくまで申し立てとして扱うべきである。

第三者アドバイザーが恐喝の標的として魅力的な理由

プロフェッショナルサービス企業は、他者に属する大量の情報を保有している。監査人、コンサルタント、税務アドバイザーは業務を行うために、財務記録、契約書、従業員の詳細、内部文書を受け取る。これらのファイルはしばしば一箇所に集約されているため、一度の侵入成功が潜在的には大きな価値を持つ。

ここで重要になるのが、データの所有者とデータの保有者との間のギャップである。アドバイザーに記録を渡した企業は、アドバイザーが開示しない限り、攻撃者がそれを入手したことを知らない可能性がある。個人はさらに遠い存在である。クライアントのファイルに詳細が記載されている従業員は、アドバイザーと直接の関係を一切持たない。

さらにレバレッジ効果もある。現代のランサムウェア集団は暗号化だけに頼ることはほとんどない。まずデータを窃取し、公開すると脅す。これはランサムウェアの二重恐喝に関する解説記事で説明している戦術である。多くの機密性の高いクライアントにサービスを提供する企業は、公開漏洩を避ける強い理由があり、攻撃者はそれを知っている。著名な標的をリークサイトで名指しすることも、主張が成立するかどうかにかかわらず注目を集める。

クライアントと個人が今確認すべきこと

対応すべき確認済みの侵害は存在しないため、目標は冷静な準備であり、パニックではない。いくつかの実践的なステップを取る価値がある。

  • 公式通知に注意する。 PwCまたはあなた自身のアドバイザーのいずれかがインシデントを確認した場合、通知は通常メールまたは郵便で届く。注意深く読み、コピーを保管すること。
  • クリックする前に確認する。 このような主張はしばしば、侵害通知を模倣したフィッシングを誘発する。予期しないメッセージ内のリンクをたどるのではなく、組織の公式ウェブサイトに直接アクセスすること。
  • 自身の連絡先に尋ねる。 あなたの会社がPwCと取引がある場合、担当者または法務チームに、何か通知を受けているか、どのようなデータが共有されたかを尋ねること。
  • 送信した内容を見直す。 あなたの組織が外部アドバイザーに渡した個人データ、財務データ、従業員データの大まかなリストを作成すること。何が外に出ているかを知らなければリスクを評価できない。
  • アカウントを監視する。 大規模なアドバイザーを利用する企業の従業員またはクライアントである場合、銀行やクレジットの動きに注意し、あなたの仕事や財務に言及する一方的な電話やメールには慎重に対処すること。

アドバイザーがあなたのデータを保有する際の露出を制限する方法

第三者があなたの情報をどのように保護するかを完全に制御することはできないが、彼らが保有する量と保有期間を減らすことはできる。

最小限だけ共有する。 業務に必要な記録だけを送信すること。生年月日の全体や政府発行のID番号など、不要なフィールドは墨塗りまたは削除すること。

保存期間の条件を設定する。 契約では、プロジェクト終了後にアドバイザーがデータを保持する期間を指定し、その後削除または返却を要求することができる。企業のサーバーに残った古いファイルは、利益のない露出である。

セキュリティと通知について尋ねる。 組織は、アドバイザーがデータをどのように保護しているか、疑わしいインシデントについてクライアントにどれだけ迅速に通知する義務があるかの詳細を求めることができる。通知が早ければ、誰もが対応する時間をより多く得られる。

強固なアカウント管理を実践する。 文書交換にポータルを使用する場合、固有のパスワードと多要素認証を使用すること。これはアドバイザー自身のシステムへの攻撃を阻止するものではないが、あなたが管理するアカウントを保護する。

類似の事例から学ぶ。 この圧力パターンはこの掲載に固有のものではない。DataSuckersと名乗るグループが関与したATBの事例では、身代金要求に多数の影響を受けた人々の主張が伴っていた。そうした状況がどのように展開するかを読むことは、信頼できる通知がどのようなものか、未検証の誇示がどのようなものかを見分ける助けになる。

あなたにとっての意味

PwCと何の関係もない場合、この主張について今日取るべき行動は何もない。同社で働いている、または同社と取引がある場合、あるいはあなたの雇用主が大規模なアドバイザーとデータを共有している場合、賢明な対応は情報を集め続け、どちらの方向にも決めつけず、公式のコミュニケーションに注意を払うことである。より広い教訓はすべての人に当てはまる。あなたのデータは、あなたが選んだことのない組織に存在し得るものであり、リスクは部分的に、彼らがどれだけ少ないデータを保有しているかにかかっている。

主なポイント

EverestのPwCデータ流出主張は依然として未確認であり、報道時点で公開サンプルも独立した確認もない。それでも、アドバイザーがなぜ魅力的な標的となるのか、そしてクライアントが何を共有したかを知るべき理由を示している。二重恐喝の仕組みを理解し、アドバイザーからの侵害通知に注意し、あらゆるインシデントに関する予期しないメッセージには慎重に対処すること。これらの状況がどのように展開するかを見たい場合、二重恐喝とATBの事例に関する解説記事を読むことが次の良いステップである。