Grupa ransomware twierdzi, że włamała się do Deloitte i ujawniła wrażliwe pliki. Jak dotąd roszczenie o naruszenie danych Deloitte pozostaje właśnie tym: roszczeniem. W materiałach, do których mamy dostęp, nie ustalono żadnych zweryfikowanych szczegółów dotyczących tego, co zostało zabrane, ani czy cokolwiek w ogóle zostało zabrane. Mimo to historia jest warta zrozumienia, ponieważ pokazuje, jak naruszenie bezpieczeństwa w jednej firmie świadczącej usługi profesjonalne może rozprzestrzenić się na osoby, które nigdy o niej nie słyszały.

Co twierdzi grupa ransomware

Według źródła donoszącego o sprawie, grupa ransomware twierdzi, że włamała się do Deloitte i uzyskała dostęp do wrażliwych plików. Artykuł przedstawia roszczenie w kontekście tego, co rzekomo jest zagrożone, ale nie podaje potwierdzonego wykazu skradzionych danych.

To roszczenie wpisuje się w schemat opisany w naszych wcześniejszych materiałach. Grupa ransomware Gentlemen twierdziła również, że dokonała naruszeń w MoneyGram i KFC, i wyznaczyła termin okupu dla każdego z nich. Nasze omówienie listingów grupy Gentlemen dotyczących MoneyGram, Deloitte i KFC zauważa, że grupa nie udostępniła żadnych próbek danych. Ten szczegół ma znaczenie, ponieważ próbki są jednym z głównych sposobów, w jakie osoby z zewnątrz mogą ocenić, czy roszczenie ransomware jest wiarygodne.

Co jest potwierdzone, a co nie

Warto oddzielić fakty od twierdzeń.

Co jest zgłoszone:

  • Grupa ransomware publicznie zgłosiła roszczenie o naruszenie Deloitte.
  • Roszczenie mówi, że ujawniono wrażliwe pliki.
  • Powiązane roszczenia wobec innych firm zostały wymienione obok niego, z terminami okupu.

Co nie zostało ustalone:

  • Czy naruszenie faktycznie miało miejsce.
  • Jakiego rodzaju dane, jeśli w ogóle, zostały zabrane.
  • Czy jakiekolwiek osoby, klienci lub klienci klientów są dotknięci.
  • Czy Deloitte potwierdziło, zaprzeczyło lub skomentowało roszczenie w sposób, który rozstrzyga sprawę.

Grupy ransomware czasami wyolbrzymiają lub fabrykują roszczenia, aby wywrzeć presję na ofiary lub zdobyć rozgłos. Inne okazują się prawdziwe. Bez udostępnionych próbek lub potwierdzenia ze strony firmy nie ma solidnych podstaw, aby traktować roszczenie jako udowodnione ani aby je odrzucać.

Dlaczego naruszenia u dostawców zewnętrznych narażają konsumentów na ryzyko

Deloitte jest firmą konsultingową, a takie firmy często przetwarzają informacje w imieniu innych organizacji. To właśnie ten aspekt sprawia, że roszczenie jest godne uwagi, nawet gdy jest niezweryfikowane. Jeśli dostawca usług profesjonalnych przechowuje pliki swoich klientów, naruszenie tam mogłoby teoretycznie ujawnić informacje o pracownikach, klientach lub partnerach tych klientów, z których żaden nie miał bezpośredniego związku z dostawcą.

To jest podstawowy problem z ryzykiem zewnętrznym. Konsumenci zazwyczaj nie widzą, z jakimi dostawcami współpracuje firma, której ufają. Zgadzają się na politykę prywatności z jedną organizacją, ale ich dane mogą przechodzić przez kilka innych. Gdy coś pójdzie nie tak u dostawcy, powiadomienie może być opóźnione, a ludzie mogą dowiedzieć się o tym dopiero z listu od firmy, której ledwo co znają.

Dla jasności, artykuł nie mówi, że tak się stało w tym przypadku. To przypomnienie, jak ekspozycja może się rozprzestrzeniać, gdy dochodzi do niej w podobnych incydentach.

Jak sprawdzić, czy Twoje dane mogą być ujawnione

Ponieważ nic nie zostało potwierdzone, nie ma oficjalnej listy dotkniętych osób, z którą można by porównać. Mimo to możesz teraz podjąć rozsądne kroki:

  • Sprawdź swoje adresy e-mail w serwisie powiadamiającym o naruszeniach. Narzędzia takie jak Have I Been Pwned pozwalają sprawdzić, czy Twój adres pojawia się w znanych zbiorach danych z naruszeń. Aby zobaczyć przykład, jak nowe wpisy się tam pojawiają, zobacz nasz raport o naruszeniu Crunchbase dodającym 559 908 adresów e-mail do Have I Been Pwned. Zauważ, że roszczenie takie jak to może nigdy nie pojawić się w takim serwisie, chyba że dane rzeczywiście zostaną ujawnione.
  • Zapisz się na powiadomienia. Wiele serwisów zajmujących się naruszeniami powiadomi Cię, jeśli Twój adres pojawi się w przyszłym zbiorze danych.
  • Obserwuj swoją pocztę i skrzynkę odbiorczą. Jeśli firma, z którą masz do czynienia, jest dotknięta, możesz otrzymać formalne powiadomienie. Zweryfikuj je, przechodząc bezpośrednio na oficjalną stronę firmy, zamiast klikać linki w wiadomości.
  • Bądź czujny na phishing. Wiadomości o naruszeniu są często wykorzystywane jako przynęta w oszukańczych e-mailach. Traktuj nieoczekiwane wiadomości dotyczące tego incydentu z ostrożnością.

Co to oznacza dla Ciebie

Dla większości ludzi praktyczne ryzyko jest teraz raczej o niskiej pewności niż wysokim alarmie. Nie musisz podejmować drastycznych działań z powodu niezweryfikowanego roszczenia. Ale ten moment to dobry bodziec, aby wzmocnić nawyki, które pomagają w każdym scenariuszu naruszenia.

Używaj unikalnych haseł do każdego konta, najlepiej z menedżerem haseł. Włącz uwierzytelnianie wieloskładnikowe, gdzie jest oferowane. Przeglądaj swoje konta pod kątem nieznanej aktywności i rozważ zamrożenie kredytu, jeśli otrzymasz powiadomienie, że zaangażowane były wrażliwe dane osobowe. Te kroki ograniczają szkody niezależnie od tego, czy roszczenie Deloitte okaże się prawdziwe, fałszywe, czy gdzieś pośrodku.

Najważniejsze wnioski

  • Roszczenie o naruszenie danych Deloitte jest niezweryfikowane, a grupa nie udostępniła żadnych próbek danych.
  • Naruszenia u dostawców i firm konsultingowych mogą wpływać na ludzi pośrednio, dlatego mają znaczenie dla konsumentów.
  • Sprawdź swoje adresy e-mail w serwisie powiadamiającym o naruszeniach, takim jak Have I Been Pwned, i włącz powiadomienia.
  • Zachowaj sceptycyzm wobec nieoczekiwanych e-maili odwołujących się do incydentu.
  • Przeczytaj nasze powiązane materiały o roszczeniach grupy ransomware Gentlemen, w tym o braku udostępnionych próbek danych, i czekaj na oficjalne potwierdzenie, zanim wyciągniesz wnioski.

Będziemy nadal śledzić to roszczenie o naruszenie danych Deloitte i aktualizować czytelników, jeśli pojawią się zweryfikowane szczegóły.