O grupo de ransomware Everest listou a PwC em seu site de extorsão, colocando uma das maiores redes de serviços profissionais do mundo sob os holofotes. A alegação não foi verificada, e não há evidências de que a PwC tenha perdido dados. Ainda assim, a alegação de exposição de dados da PwC pelo ransomware Everest é um lembrete útil de como uma violação em um consultor pode afetar pessoas que nunca lidaram com o atacante, ou sequer com a própria empresa.

O que o Everest alega sobre a PwC

De acordo com veículos de segurança que acompanham a listagem, o Everest diz ter roubado 590,69 GB de dados vinculados à PwC. Um resumo da listagem indica 108.426 arquivos e descreve o material como registros de funcionários e dados pessoais. Outras coberturas mencionam registros de recursos humanos e material de treinamento. Uma publicação no LinkedIn que circula a alegação foi além, referindo-se a dados de funcionários e de auditoria, mas essa descrição vem de comentários sobre a alegação e não de evidências verificadas.

A ressalva importante é que nada disso foi confirmado. Um boletim de segurança observou que a listagem não foi acompanhada de amostras de dados, detalhes técnicos ou evidências independentes. Grupos de ransomware listam vítimas para criar pressão, e uma listagem por si só não prova que os dados foram obtidos, que são autênticos ou que vieram dos sistemas da PwC como alegado. Até que a PwC confirme um incidente ou apareçam provas credíveis, os leitores devem tratar os números acima como alegações.

Por que consultores terceirizados são alvos atraentes de extorsão

Empresas de serviços profissionais detêm muitas informações que pertencem a outras pessoas. Auditores, consultores e assessores fiscais recebem registros financeiros, contratos, dados de funcionários e documentos internos para poderem realizar seu trabalho. Esses arquivos costumam ficar em um só lugar, o que torna uma única intrusão bem-sucedida potencialmente valiosa.

É aqui que a lacuna entre o proprietário dos dados e o detentor dos dados importa. Uma empresa que entrega registros a um consultor pode nunca saber que um atacante os possui, a menos que o consultor divulgue o fato. Os indivíduos estão ainda mais distantes: um funcionário cujos dados aparecem nos arquivos de um cliente não tem nenhuma relação direta com o consultor.

Há também um efeito de alavancagem. As equipes modernas de ransomware raramente dependem apenas da criptografia. Elas roubam dados primeiro e ameaçam publicá-los, que é a tática que descrevemos em nosso explicador sobre dupla extorsão por ransomware. Uma empresa que atende muitos clientes sensíveis tem fortes razões para evitar um vazamento público, e os atacantes sabem disso. Nomear um alvo de alto perfil em um site de vazamento também atrai atenção, quer a alegação se sustente ou não.

O que clientes e indivíduos devem verificar agora

Não há violação confirmada à qual responder, então o objetivo é uma preparação calma, não pânico. Alguns passos práticos vale a pena tomar:

  • Fique atento a avisos oficiais. Se a PwC ou qualquer um dos seus próprios consultores confirmar um incidente, as notificações geralmente chegam por e-mail ou correio. Leia-as com atenção e guarde uma cópia.
  • Verifique antes de clicar. Alegações como esta frequentemente desencadeiam phishing que imita um aviso de violação. Vá diretamente ao site oficial da organização em vez de seguir links em mensagens inesperadas.
  • Pergunte aos seus próprios contatos. Se sua empresa trabalha com a PwC, pergunte ao seu contato de conta ou à equipe jurídica se foram informados de algo e quais dados foram compartilhados.
  • Revise o que você enviou. Faça uma lista aproximada dos dados pessoais, financeiros ou de funcionários que sua organização repassou a consultores externos. Você não pode avaliar o risco sem saber o que está lá fora.
  • Fique de olho nas contas. Se você é funcionário ou cliente de uma empresa que usa grandes consultores, acompanhe a atividade bancária e de crédito e seja cauteloso com ligações ou e-mails não solicitados que mencionem seu trabalho ou finanças.

Como limitar a exposição quando consultores detêm seus dados

Você não pode controlar totalmente como um terceiro protege suas informações, mas pode reduzir o que eles detêm e por quanto tempo as mantêm.

Compartilhe o mínimo. Envie apenas os registros que um trabalho exige. Redija ou remova campos desnecessários, como datas de nascimento completas ou números de documentos de identidade governamentais.

Estabeleça prazos de retenção. Os contratos podem especificar por quanto tempo um consultor mantém os dados após o término de um projeto e exigir a exclusão ou devolução posteriormente. Arquivos antigos parados nos servidores de uma empresa são exposição sem benefício.

Pergunte sobre segurança e notificação. As organizações podem solicitar detalhes sobre como os consultores protegem os dados e com que rapidez devem informar os clientes sobre um incidente suspeito. Um aviso mais rápido dá a todos mais tempo para responder.

Use uma boa higiene de contas. Se você usa um portal para trocar documentos, use uma senha exclusiva e autenticação multifator. Isso não impedirá um ataque aos próprios sistemas do consultor, mas protege as contas que você controla.

Aprenda com casos comparáveis. O padrão de pressão não é exclusivo desta listagem. No caso ATB envolvendo um grupo que se autodenomina DataSuckers, uma exigência de resgate foi combinada com alegações de um grande número de pessoas afetadas. Ler como essas situações se desenrolam ajuda você a identificar como é uma notificação credível e como é uma fanfarronice não verificada.

O que isso significa para você

Se você não tem nenhuma conexão com a PwC, nada sobre esta alegação exige ação hoje. Se você trabalha para ou com a empresa, ou se seu empregador compartilha dados com grandes consultores, a resposta sensata é manter-se informado, evitar suposições em qualquer direção e ficar atento a comunicações oficiais. A lição mais ampla se aplica a todos: seus dados podem estar com organizações que você nunca escolheu, e o risco depende em parte de quão pouco deles elas detêm.

Principais conclusões

A alegação de exposição de dados da PwC pelo ransomware Everest permanece não verificada, sem amostras públicas ou confirmação independente no momento da reportagem. Ainda assim, ela mostra por que os consultores são alvos atraentes e por que os clientes devem saber o que compartilharam. Entenda como funciona a dupla extorsão, fique atento a notificações de violação dos seus consultores e trate mensagens inesperadas sobre qualquer incidente com cautela. Ler nosso explicador sobre dupla extorsão e o caso ATB é um bom próximo passo se você quiser ver como essas situações costumam se desenrolar.