Wat TCS zegt dat er is gebeurd en wat het ontkent

Tata Consultancy Services (TCS) meldde maandag aan beurzen dat het dreigingsinformatie-alerts heeft ontvangen die wijzen op mogelijke blootstelling van bepaalde werknemersgegevens. Het bedrijf zei dat het naar aanleiding daarvan een intern onderzoek is gestart, en dat uit dat onderzoek geen geloofwaardig bewijs van een inbreuk naar voren is gekomen die de eigen systemen of de klantomgevingen heeft getroffen.

Dat is een opmerkelijk beperkte ontkenning. TCS beweert niet dat er helemaal niets is gebeurd; het zegt dat de ontvangen alerts niet hebben geleid tot bevestigde ongeautoriseerde toegang tot de eigen infrastructuur of klantgegevens. Voor een bedrijf van de omvang van TCS, met honderdduizenden werknemers en contracten met banken, retailers en overheidsklanten wereldwijd, is dat onderscheid van belang. De claims over het datalek bij TCS draaien om werknemersgerelateerde informatie, niet om klantsystemen, aldus de eigen verklaring van het bedrijf.

Hoe dreigingsinformatie-alerts verschillen van bevestigde inbreuken

Het is de moeite waard om te begrijpen wat een "dreigingsinformatie-alert" eigenlijk is, want het is een ander beestje dan een melding van een bevestigde inbreuk. Dit soort alerts zijn doorgaans afkomstig van externe beveiligingsbedrijven, darkweb-monitoringdiensten of onderzoekers die datamonsters, forumposts of afpersingsclaims tegenkomen waarin een bedrijf bij naam wordt genoemd. De alert zelf is een signaal dat er iets wordt beweerd of aangeboden, geen bewijs dat het netwerk van een bedrijf daadwerkelijk is gecompromitteerd.

Bedrijven ontvangen regelmatig dergelijke alerts en moeten ze triëren: zijn de gegevens echt, zijn ze recent, komen ze overeen met echte werknemersgegevens, en zijn ze afkomstig uit de eigen systemen van het bedrijf of ergens anders vandaan (een externe leverancier, een oud lek dat is hergebruikt en opnieuw gelabeld, of een volledig ongerelateerde bron)? De verklaring van TCS dat het "geen geloofwaardig bewijs" heeft gevonden, suggereert dat het onderzoek heeft geconcludeerd dat de vermeende gegevens ofwel niet klopten, niet actueel waren of niet afkomstig waren uit de eigen omgeving. Maar die conclusie berust op de interne beoordeling van TCS, en externe partijen hebben doorgaans geen onafhankelijke manier om dat te verifiëren totdat er meer details naar buiten komen, als die al ooit komen.

Waarom afpersingsgroepen zich richten op grote IT-dienstverleners

Grote IT-dienstverleners zijn aantrekkelijke doelwitten juist vanwege hun schaal en hun web van klantrelaties. Eén enkele leverancier als TCS bevindt zich op het kruispunt van tientallen systemen van grote ondernemingen, waardoor elke claim van inbreuk, reëel of overdreven, waardevolle pressiemiddelen oplevert voor afpersingsgroepen. Zelfs een onbevestigde claim kan krantenkoppen genereren, de aandelenkoers van een bedrijf onder druk zetten en bij klanten twijfel zaaien over de veiligheid van hun eigen datapijplijnen.

Deze dynamiek is niet uniek voor TCS. Claims over gegevensblootstelling bij grote organisaties volgen vaak een bekend patroon: er duikt een dreigingsactor of een vermelding op het darkweb op, de organisatie stelt een onderzoek in en het publiek blijft wachten op een oplossing die soms nooit helemaal komt. De Indiase Defence Research and Development Organisation stond voor een soortgelijke situatie toen meldingen opdoken van gevoelige gegevens die te koop werden aangeboden op het darkweb, een claim waarvan de verificatie tijd kostte en die later groter werd toen 31 GB aan vermeende defensiebestanden openbaar werden vermeld. Beide gevallen illustreren hoe claims en bevestigingen een heel verschillende tijdlijn kunnen hebben, en waarom uitsluitend afgaan op de eerste verklaring van een bedrijf, zonder follow-up, echte vragen onbeantwoord kan laten.

Wat TCS-medewerkers en klantbedrijven nu moeten controleren

Voor huidige en voormalige TCS-medewerkers is een bedrijfsverklaring van "geen geloofwaardig bewijs van inbreuk" geruststellend, maar geen vervanging voor persoonlijke waakzaamheid. Het is de moeite waard om te controleren of je werk-e-mailadres of persoonlijke identificatiegegevens voorkomen in openbaar doorzoekbare lekdatabases, te letten op ongebruikelijke inlogpogingen op aan je dienstverband gekoppelde accounts en alert te zijn op phishingpogingen die je werkgever bij naam noemen, omdat gelekte of naar verluidt geopenbaarde werknemersgegevens vaak worden gebruikt om scam-e-mails overtuigender te laten lijken.

Klantbedrijven die voor IT-diensten op TCS vertrouwen, moeten hun leveranciersrisicobeheer-teams om details vragen: welke gegevens zijn naar verluidt blootgesteld, hoe oud zijn ze en welke monitoring wordt er in de toekomst toegepast? "Geen bewijs van inbreuk in klantomgevingen" is een nuttig uitgangspunt, maar zakelijke klanten hebben doorgaans contractuele rechten om meer details op te vragen, en het uitoefenen van dat recht is redelijk, gezien de hoeveelheid operationele en financiële gegevens die via grote IT-leveranciers stroomt.

Wat dit voor jou betekent

Of je nu medewerker of klant bent, de veiligste benadering van claims over het TCS-datalek is om de verklaring van het bedrijf te beschouwen als één gegevenspunt, niet als het laatste woord. Dreigingsinformatie-alerts kunnen onjuist, verouderd of gebaseerd op hergebruikte gegevens zijn, maar ze kunnen ook vroege waarschuwingen zijn voor iets ernstigers dat weken kost om volledig te bevestigen. Passief wachten op verdere updates is geen strategie; zelfstandig je eigen blootstelling controleren wel.

Concrete actiepunten

  • Doorzoek je werk- en privé-e-mailadressen in gerenommeerde tools voor lekmonitoring om te zien of ze voorkomen in bekende lekken.
  • Schakel multi-factor-authenticatie in voor alle werkgerelateerde accounts als je dat nog niet hebt gedaan.
  • Wees extra voorzichtig met e-mails of telefoontjes die naar je werkgever verwijzen, vooral als je wordt gevraagd om inloggegevens te verifiëren of op links te klikken.
  • Als je werkt bij een bedrijf dat met TCS samenwerkt, vraag dan aan je beveiligings- of inkoopteam welke specifieke geruststellingen de leverancier heeft geboden naast de openbare verklaring.
  • Houd vervolgrapportages in de gaten, want eerste verklaringen van grote leveranciers dat er "geen inbreuk is gevonden" zijn niet altijd het einde van het verhaal.