Um grupo de ransomware afirmou ter invadido a Deloitte e exposto arquivos sensíveis. Até agora, a reivindicação de violação de dados da Deloitte permanece apenas isso: uma reivindicação. Nenhum detalhe verificado sobre o que foi levado, ou se algo foi levado, foi estabelecido no material disponível para nós. Mesmo assim, a história vale a pena ser compreendida, porque mostra como um comprometimento em uma empresa de serviços profissionais pode se propagar para pessoas que nunca ouviram falar dela.

O que o grupo de ransomware está alegando

De acordo com a fonte que reportou, um grupo de ransomware diz ter invadido a Deloitte e obtido acesso a arquivos sensíveis. A reportagem enquadra a alegação em torno do que estaria supostamente em risco, mas não fornece um inventário confirmado dos dados roubados.

Essa alegação se encaixa em um padrão abordado em nossa reportagem anterior. O grupo de ransomware Gentlemen também alegou invasões à MoneyGram e ao KFC, e definiu prazos de resgate para cada uma. Nossa cobertura sobre as listagens do ransomware Gentlemen para MoneyGram, Deloitte e KFC observa que o grupo não divulgou nenhuma amostra de dados. Esse detalhe é importante, porque as amostras são uma das principais formas de terceiros avaliarem se uma alegação de ransomware é crível.

O que está confirmado e o que não está

Ajuda separar os fatos das afirmações.

O que foi reportado:

  • Um grupo de ransomware alegou publicamente uma invasão à Deloitte.
  • A alegação diz que arquivos sensíveis foram expostos.
  • Alegações relacionadas contra outras empresas foram listadas ao lado dela, com prazos de resgate.

O que não está estabelecido:

  • Se a invasão realmente aconteceu.
  • Que tipo de dados, se algum, foi levado.
  • Se quaisquer indivíduos, clientes ou clientes dos clientes foram afetados.
  • Se a Deloitte confirmou, negou ou comentou a alegação de uma forma que resolva a questão.

Grupos de ransomware às vezes exageram ou fabricam alegações para pressionar vítimas ou ganhar notoriedade. Outros acabam se revelando precisos. Sem amostras divulgadas ou uma confirmação da empresa, não há base sólida para tratar a alegação como provada, ou para descartá-la.

Por que invasões em fornecedores terceirizados colocam consumidores em risco

A Deloitte é uma consultoria, e empresas como ela frequentemente lidam com informações em nome de outras organizações. Esse é o ângulo que torna esta alegação notável mesmo enquanto não verificada. Se um prestador de serviços profissionais armazena arquivos de seus clientes, um comprometimento ali poderia, em teoria, expor informações sobre funcionários, clientes ou parceiros desses clientes, nenhum dos quais tinha uma relação direta com o prestador.

Esse é o problema central do risco de terceiros. Os consumidores normalmente não conseguem ver quais fornecedores uma empresa em que confiam utiliza. Eles concordam com uma política de privacidade com uma organização, mas seus dados podem passar por várias outras. Quando algo dá errado em um fornecedor, a notificação pode ser lenta, e as pessoas podem só ficar sabendo por meio de uma carta de uma empresa que mal reconhecem.

Para deixar claro, o artigo não diz que isso aconteceu aqui. É um lembrete de como a exposição pode se propagar quando acontece em incidentes semelhantes.

Como verificar se seus dados podem estar expostos

Como nada foi confirmado, não há lista oficial de pessoas afetadas para consultar. Você ainda pode tomar medidas sensatas agora:

  • Pesquise seus endereços de e-mail em um serviço de notificação de violações. Ferramentas como o Have I Been Pwned permitem que você veja se seu endereço aparece em conjuntos de dados de violações conhecidas. Para um exemplo de como novas entradas aparecem lá, veja nossa reportagem sobre a violação da Crunchbase adicionando 559.908 e-mails ao Have I Been Pwned. Observe que uma alegação como esta pode nunca aparecer em tal serviço, a menos que os dados sejam realmente divulgados.
  • Inscreva-se para notificações. Muitos serviços de violação alertarão você se seu endereço aparecer em um conjunto de dados futuro.
  • Fique atento ao seu correio e à sua caixa de entrada. Se uma empresa com a qual você lida for afetada, você pode receber um aviso formal. Verifique indo diretamente ao site oficial da empresa, em vez de clicar em links na mensagem.
  • Fique alerta a phishing. Notícias de uma violação são frequentemente usadas como isca em e-mails fraudulentos. Trate mensagens inesperadas sobre este incidente com cautela.

O que isso significa para você

Para a maioria das pessoas, o risco prático agora é de baixa certeza, e não de alto alarme. Você não precisa tomar medidas drásticas por causa de uma alegação não verificada. Mas o momento é um bom incentivo para reforçar hábitos que ajudam em qualquer cenário de violação.

Use senhas únicas para cada conta, idealmente com um gerenciador de senhas. Ative a autenticação multifator onde ela for oferecida. Revise suas contas em busca de atividades desconhecidas e considere bloquear o crédito se receber um aviso de que detalhes pessoais sensíveis foram envolvidos. Essas medidas limitam os danos, seja a alegação da Deloitte verdadeira, falsa ou algo intermediário.

Principais conclusões

  • A alegação de violação de dados da Deloitte não é verificada, e nenhuma amostra de dados foi divulgada pelo grupo.
  • Comprometimentos em fornecedores e consultorias podem afetar pessoas indiretamente, e é por isso que importam para os consumidores.
  • Verifique seus endereços de e-mail com um serviço de notificação de violações, como o Have I Been Pwned, e ative alertas.
  • Mantenha-se cético em relação a e-mails inesperados que mencionem o incidente.
  • Leia nossa cobertura relacionada sobre as alegações do grupo de ransomware Gentlemen, incluindo a falta de amostras de dados divulgadas, e aguarde confirmação oficial antes de tirar conclusões.

Continuaremos acompanhando esta alegação de violação de dados da Deloitte e atualizaremos os leitores se detalhes verificados surgirem.