Een ransomwaregroep beweert Deloitte te hebben gehackt en gevoelige bestanden te hebben blootgesteld. Tot nu toe blijft de bewering over het Deloitte-datalek precies dat: een bewering. Er zijn geen geverifieerde details over wat er is meegenomen, of er überhaupt iets is meegenomen, vastgesteld in het materiaal dat ons ter beschikking staat. Toch is het verhaal het begrijpen waard, omdat het laat zien hoe een compromittering bij één professioneel dienstverlenend bedrijf zich kan verspreiden naar mensen die er nog nooit van hebben gehoord.

Wat de ransomwaregroep beweert

Volgens de bron die erover bericht, zegt een ransomwaregroep Deloitte te hebben gehackt en toegang te hebben gekregen tot gevoelige bestanden. Het rapport kadert de bewering rond wat naar verluidt risico loopt, maar het biedt geen bevestigde inventaris van gestolen gegevens.

Deze bewering past in een patroon dat in onze eerdere berichtgeving aan bod kwam. De Gentlemen-ransomwaregroep heeft ook beweerd MoneyGram en KFC te hebben gehackt, en stelde voor elk daarvan losgelddeadlines. Onze berichtgeving over de Gentlemen-ransomwarevermeldingen voor MoneyGram, Deloitte en KFC merkt op dat de groep geen enkele datamonster heeft vrijgegeven. Dat detail is belangrijk, omdat monsters een van de belangrijkste manieren zijn waarop buitenstaanders kunnen beoordelen of een ransomwarebewering geloofwaardig is.

Wat bevestigd is en wat niet

Het helpt om de feiten van de beweringen te scheiden.

Wat wordt gerapporteerd:

  • Een ransomwaregroep heeft publiekelijk een Deloitte-datalek beweerd.
  • De bewering zegt dat gevoelige bestanden zijn blootgesteld.
  • Gerelateerde beweringen tegen andere bedrijven zijn ernaast vermeld, met losgelddeadlines.

Wat niet is vastgesteld:

  • Of het datalek daadwerkelijk heeft plaatsgevonden.
  • Wat voor soort gegevens, indien al, is meegenomen.
  • Of individuen, klanten of klanten van klanten getroffen zijn.
  • Of Deloitte de bewering heeft bevestigd, ontkend of erop heeft gereageerd op een manier die de kwestie beslecht.

Ransomwaregroepen overdrijven of verzinnen soms beweringen om slachtoffers onder druk te zetten of bekendheid te verwerven. Andere blijken dan weer accuraat. Zonder vrijgegeven monsters of een bevestiging van het bedrijf is er geen solide basis om de bewering als bewezen te beschouwen, of om ze te verwerpen.

Waarom datalekken bij externe leveranciers consumenten in gevaar brengen

Deloitte is een adviesbureau, en soortgelijke bedrijven verwerken vaak informatie namens andere organisaties. Dat is de invalshoek die deze bewering opmerkelijk maakt, zelfs terwijl ze ongeverifieerd is. Als een professionele dienstverlener bestanden van zijn klanten beheert, zou een compromittering daar in theorie informatie kunnen blootstellen over de werknemers, klanten of partners van die klanten, van wie niemand een directe relatie had met de dienstverlener.

Dit is het kernprobleem met risico's van derden. Consumenten kunnen doorgaans niet zien met welke leveranciers een bedrijf dat ze vertrouwen samenwerkt. Ze stemmen in met een privacybeleid van één organisatie, maar hun gegevens kunnen door verschillende andere gaan. Wanneer er iets misgaat bij een leverancier, kan de kennisgeving traag verlopen, en mensen komen het misschien alleen te weten via een brief van een bedrijf dat ze nauwelijks herkennen.

Voor alle duidelijkheid: het artikel zegt niet dat dit hier is gebeurd. Het is een herinnering aan hoe blootstelling zich kan verspreiden wanneer het gebeurt in vergelijkbare incidenten.

Hoe je kunt controleren of je gegevens mogelijk zijn blootgesteld

Omdat er niets is bevestigd, is er geen officiële lijst van getroffen personen om tegen te controleren. Je kunt nu toch verstandige stappen nemen:

  • Zoek je e-mailadressen in een dienst voor datalekmeldingen. Hulpmiddelen zoals Have I Been Pwned laten je zien of je adres voorkomt in bekende datalekdatasets. Voor een voorbeeld van hoe nieuwe vermeldingen daar verschijnen, zie ons rapport over het Crunchbase-datalek waarbij 559.908 e-mails aan Have I Been Pwned werden toegevoegd. Merk op dat een bewering zoals deze mogelijk nooit in zo'n dienst verschijnt, tenzij gegevens daadwerkelijk worden vrijgegeven.
  • Meld je aan voor meldingen. Veel datalekdiensten waarschuwen je als je adres in een toekomstige dataset voorkomt.
  • Let op je post en inbox. Als een bedrijf waar je zaken mee doet getroffen is, ontvang je mogelijk een formele kennisgeving. Verifieer deze door rechtstreeks naar de officiële website van het bedrijf te gaan in plaats van op links in het bericht te klikken.
  • Wees waakzaam voor phishing. Nieuws over een datalek wordt vaak gebruikt als lokaas in scam-e-mails. Behandel onverwachte berichten over dit incident met voorzichtigheid.

Wat dit voor jou betekent

Voor de meeste mensen is het praktische risico op dit moment eerder laag-zeker dan hoog-alarm. Je hoeft geen drastische actie te ondernemen vanwege een ongeverifieerde bewering. Maar dit moment is een goede aanleiding om gewoonten aan te scherpen die in elk datalek-scenario helpen.

Gebruik unieke wachtwoorden voor elk account, idealiter met een wachtwoordmanager. Schakel multi-factorauthenticatie in waar het wordt aangeboden. Controleer je accounts op onbekende activiteit, en overweeg een kredietblokkade te plaatsen als je een kennisgeving ontvangt dat gevoelige persoonlijke gegevens betrokken waren. Deze stappen beperken de schade of de Deloitte-bewering nu waar blijkt, onwaar, of iets daartussenin.

Belangrijkste punten

  • De bewering over het Deloitte-datalek is ongeverifieerd, en de groep heeft geen datamonsters vrijgegeven.
  • Compromitteringen bij leveranciers en adviesbureaus kunnen mensen indirect treffen, en daarom zijn ze belangrijk voor consumenten.
  • Controleer je e-mailadressen met een dienst voor datalekmeldingen zoals Have I Been Pwned, en schakel meldingen in.
  • Blijf sceptisch tegenover onverwachte e-mails die naar het incident verwijzen.
  • Lees onze gerelateerde berichtgeving over de beweringen van de Gentlemen-ransomwaregroep, inclusief het ontbreken van vrijgegeven datamonsters, en wacht op officiële bevestiging voordat je conclusies trekt.

We blijven de bewering over het Deloitte-datalek volgen en zullen lezers bijwerken als er geverifieerde details opduiken.