IT-giganten HCLTech har blitt det andre store indiske teknologiselskapet på like mange uker til å offentlig benekte en datalekkasje etter at en hacker hevdet å ha eksponert ansattinformasjon. I en uttalelse som adresserte påstandene, sa HCLTech at deres interne gjennomgang ikke fant bevis for at deres systemer hadde blitt kompromittert, og at eventuelle data hackeren besitter kan være begrenset i omfang og, bemerkelsesverdig nok, flere år gamle. Selskapet sa at videre undersøkelser pågår.

Kravet om lekkasje av HCLTech-ansattdata følger etter en lignende episode som involverte Tata Consultancy Services (TCS), noe som reiser nye spørsmål om hvordan landets største IT-eksportører håndterer trusselinformasjon og hvordan ansatte bør respondere når deres personlige opplysninger dukker opp i påstander som ikke er uavhengig verifisert.

Hva hackerne hevder vs. hva HCLTech bekrefter

Ifølge rapporter hevdet en hacker eller hackergruppe at de hadde fått tak i ansattrelaterte data knyttet til HCLTech og tilbød dem for eksponering eller salg. HCLTechs respons har vært målt, men fast: selskapet sier at deres egen etterforskning ikke har funnet noen indikasjoner på at deres bedriftssystemer ble brutt. Viktig er det at HCLTech ikke har avfeid påstanden helt. I stedet har de erkjent at noe av dataen hackeren refererte til kan være ekte, bare gammel, og muligens begrenset i volum sammenlignet med det som ble annonsert.

Dette er et viktig skille. Et selskap som benekter et "systembrudd" er ikke det samme som å benekte at noen data eksisterer. Gamle ansattregistre, HR-eksporter eller arkiverte filer kan sirkulere i årevis etter at de først lekket, noen ganger dukke opp igjen under en ny hacker-alias eller bli pakket om som en "fersk" hendelse for å skape oppmerksomhet. HCLTechs forsiktige ordlyd antyder at selskapet prøver å skille den sensasjonelle påstanden fra det deres kriminaltekniske team faktisk kan bekrefte.

Et kjent mønster: Gjenklang av TCS-datalekkasjekravet

Timingen er vanskelig å ignorere. Bare dager tidligere benektet TCS en lekkasje etter et lignende varsel om ansattdatalekkasje, der selskapet bekreftet at de hadde mottatt trusselinformasjonsvarsler om mulig eksponering av ansattinformasjon. Den episoden eskalerte ytterligere da rapporter kom om et TCS-ansattdatalekkasjevarsel som involverte omtrent 800 000 poster hevdet av hackeren, et tall selskapet har jobbet med å kontekstualisere mens de etterforsker.

To av Indias største IT-tjenesteselskaper som møter nesten identiske krav innenfor samme tidsrom på dager, peker på et mønster snarere enn en tilfeldighet. Det kan reflektere at hackere retter seg mot sektoren bredt, resirkulerer eldre lekkede datasett og merker dem om som nye hendelser, eller rett og slett tester hvilke krav som genererer mediedekning og press på bedriftens kommunikasjonsteam. For ansatte i disse selskapene, og i andre store IT-selskaper som følger nøye med, er lærdommen den samme: uverifiserte lekkasjekrav blir et tilbakevendende trekk ved trussellandskapet, ikke en isolert hendelse.

Hvorfor gamle ansattdata fortsatt utgjør risiko

Det er fristende å behandle "gamle" data som lavrisiko, men den antagelsen holder ikke godt i praksis. Ansattregistre, selv år gamle, inkluderer typisk informasjon som navn, ansatt-ID-er, kontaktinformasjon, og noen ganger interne organisatoriske data. Den typen informasjon forblir nyttig for angripere som kjører phishing-kampanjer, sosial manipulering, eller credential-stuffing-angrep, spesielt hvis ansatte har gjenbrukt passord eller kontaktinformasjon på tvers av flere kontoer siden dataen opprinnelig ble samlet inn.

Gamle data kan også kombineres med nyere lekkasjer fra uavhengige kilder for å bygge en mer komplett profil av en person, en teknikk angripere i økende grad stoler på. Så selv om HCLTechs karakterisering av dataen som "begrenset" og "flere år gammel" er et rimelig første funn, bør det ikke leses som en grunn for berørte ansatte til å ignorere situasjonen helt.

Hva dette betyr for deg

Hvis du er, eller har vært, ansatt i HCLTech, er det noen praktiske skritt verdt å ta uavhengig av hvordan etterforskningen konkluderer. For det første, behandle uventede e-poster, anrop eller meldinger som refererer til din ansettelseshistorikk med skepsis, spesielt de som ber deg verifisere personlige opplysninger eller klikke på lenker. For det andre, sjekk om du har gjenbrukt gamle arbeidsrelaterte passord på personlige kontoer og oppdater dem hvis så er tilfelle. For det tredje, vurder å aktivere flerfaktorautentisering der det ikke allerede er aktivt, siden dette betydelig reduserer risikoen for at lekkede passord alene kan brukes til å få tilgang til en konto.

Mer bredt er denne hendelsen en påminnelse om at databeskyttelse ikke er en engangsoppgave knyttet til en enkelt lekkasjevarsling. Ettersom flere indiske IT-selskaper møter denne typen krav, tjener både ansatte og forbrukere på å rutinemessig gjennomgå hvilke av deres personlige opplysninger som er eksponert på nettet og stramme inn sikkerhetsinnstillingene på e-post-, bank- og arbeidskontoer.

Det større bildet

HCLTechs respons, som benekter et systembrudd mens de erkjenner muligheten for gammel, begrenset dataeksponering, speiler hvordan TCS håndterte sin egen nylige skrekk. Sammen antyder disse sakene at indiske IT-selskaper i økende grad må håndtere en gråsone mellom bekreftede brudd og uverifiserte hackerpåstander, et rom hvor offentlig tillit og tydelig kommunikasjon betyr like mye som teknisk kriminalteknikk.

Foreløpig er HCLTech-ansattdatalekkasjekravet fortsatt under etterforskning, og selskapet har ikke bekreftet noen kompromittering av sine systemer. Lesere og ansatte som ønsker å forstå hvordan dette passer inn i en bredere trend, kan også se på den pågående TCS-situasjonen, som gir en nyttig sammenligning for hvordan disse kravene har en tendens til å utfolde seg og hvordan selskaper responderer når trusselinformasjonsvarsler blir offentlige overskrifter.