Группа вымогателей Everest разместила PwC на своём сайте вымогательства, привлекая внимание к одной из крупнейших в мире сетей профессиональных услуг. Заявление не подтверждено, и нет данных о том, что PwC потеряла какие-либо данные. Тем не менее, заявление Everest о раскрытии данных PwC — полезное напоминание о том, как утечка у консультанта может затронуть людей, которые никогда не имели дела ни с атакующим, ни с самой фирмой.

Что Everest утверждает о PwC

Согласно публикациям в области безопасности, отслеживающим этот листинг, Everest заявляет о краже 590,69 ГБ данных, связанных с PwC. В одном из резюме листинга указано 108 426 файлов, а сам материал описывается как кадровые записи и персональные данные. В других публикациях упоминаются кадровые записи и учебные материалы. Пост в LinkedIn, распространяющий это заявление, пошёл дальше, упомянув данные сотрудников и аудиторские данные, но это описание происходит из комментариев к заявлению, а не из проверенных доказательств.

Важная оговорка: ничего из этого не подтверждено. В одном из бюллетеней по безопасности отмечалось, что листинг не сопровождался образцами данных, техническими деталями или независимыми доказательствами. Группы вымогателей публикуют жертв для создания давления, и один лишь листинг не доказывает, что данные были похищены, что они подлинные или что они поступили из систем PwC, как утверждается. Пока PwC не подтвердит инцидент или не появятся достоверные доказательства, читателям следует рассматривать приведённые выше цифры как утверждения.

Почему сторонние консультанты — привлекательные цели для вымогательства

Фирмы профессиональных услуг хранят много информации, принадлежащей другим людям. Аудиторы, консультанты и налоговые советники получают финансовые записи, контракты, данные сотрудников и внутренние документы, чтобы выполнять свою работу. Эти файлы часто находятся в одном месте, что делает одно успешное вторжение потенциально ценным.

Именно здесь важно различие между владельцем данных и их держателем. Компания, передающая записи консультанту, может никогда не узнать, что они попали к атакующему, если только консультант сам об этом не сообщит. Отдельные люди ещё более удалены: сотрудник, чьи данные фигурируют в файлах клиента, вообще не имеет прямых отношений с консультантом.

Есть и эффект рычага. Современные группировки вымогателей редко полагаются только на шифрование. Они сначала похищают данные и угрожают их опубликовать — тактика, которую мы описываем в нашем разъяснении о двойном вымогательстве. У фирмы, обслуживающей множество чувствительных клиентов, есть веские причины избегать публичной утечки, и атакующие это знают. Называние громкой цели на сайте утечек также привлекает внимание — независимо от того, подтверждается ли заявление.

Что клиентам и частным лицам стоит проверить сейчас

Подтверждённой утечки, на которую нужно реагировать, нет, поэтому цель — спокойная подготовка, а не паника. Стоит предпринять несколько практических шагов:

  • Следите за официальными уведомлениями. Если PwC или кто-либо из ваших собственных консультантов подтвердит инцидент, уведомления обычно приходят по электронной почте или почтой. Читайте их внимательно и сохраняйте копию.
  • Проверяйте, прежде чем кликать. Подобные заявления часто провоцируют фишинг, имитирующий уведомление об утечке. Переходите напрямую на официальный сайт организации, а не по ссылкам в неожиданных сообщениях.
  • Спросите своих контактов. Если ваша компания работает с PwC, спросите у своего контактного лица или юридической команды, сообщали ли им о чём-либо и какие данные были переданы.
  • Пересмотрите, что вы отправляли. Составьте примерный список персональных, финансовых данных или данных сотрудников, которые ваша организация передавала внешним консультантам. Вы не можете оценить риск, не зная, что находится «снаружи».
  • Следите за счетами. Если вы сотрудник или клиент фирмы, пользующейся услугами крупных консультантов, следите за банковской активностью и кредитной историей и будьте осторожны с нежелательными звонками или письмами, упоминающими вашу работу или финансы.

Как ограничить риски, когда консультанты хранят ваши данные

Вы не можете полностью контролировать, как третья сторона защищает вашу информацию, но можете сократить то, что они хранят, и то, как долго они это держат.

Делитесь минимумом. Отправляйте только те записи, которые требуются для проекта. Скрывайте или удаляйте ненужные поля, например полные даты рождения или номера государственных удостоверений.

Устанавливайте условия хранения. В договорах можно указать, как долго консультант хранит данные после завершения проекта, и потребовать их удаления или возврата впоследствии. Старые файлы на серверах фирмы — это риск без всякой пользы.

Спрашивайте о безопасности и уведомлениях. Организации могут запрашивать сведения о том, как консультанты защищают данные и как быстро они обязаны сообщать клиентам о подозрении на инцидент. Более быстрое уведомление даёт всем больше времени на реагирование.

Соблюдайте гигиену учётных записей. Если вы используете портал для обмена документами, используйте уникальный пароль и многофакторную аутентификацию. Это не остановит атаку на собственные системы консультанта, но защитит учётные записи, которые вы контролируете.

Учитесь на аналогичных случаях. Схема давления не уникальна для этого листинга. В случае ATB, связанном с группой, называющей себя DataSuckers, требование выкупа сопровождалось заявлениями о большом числе пострадавших. Чтение о том, как развивались те ситуации, помогает распознать, как выглядит достоверное уведомление и как выглядит неподтверждённое хвастовство.

Что это значит для вас

Если вы не связаны с PwC, ничто в этом заявлении не требует действий сегодня. Если вы работаете в фирме или с ней, или ваш работодатель делится данными с крупными консультантами, разумный ответ — оставаться информированным, избегать предположений в любую сторону и следить за официальными сообщениями. Более широкий урок касается всех: ваши данные могут находиться в организациях, которые вы никогда не выбирали, и риск частично зависит от того, насколько мало данных они хранят.

Ключевые выводы

Заявление Everest о раскрытии данных PwC остаётся неподтверждённым: на момент публикации нет публичных образцов или независимого подтверждения. Тем не менее оно показывает, почему консультанты — привлекательные цели и почему клиентам следует знать, чем они поделились. Понимайте, как работает двойное вымогательство, следите за уведомлениями об утечках от ваших консультантов и относитесь с осторожностью к неожиданным сообщениям о любом инциденте. Чтение нашего разъяснения о двойном вымогательстве и случае ATB — хороший следующий шаг, если вы хотите увидеть, как обычно развиваются подобные ситуации.