En utpressningsgrupp har påstått att de har intrång i Deloitte och exponerat känsliga filer. Än så länge är Deloitte dataintrång påståendet just det: ett påstående. Inga verifierade detaljer om vad som tagits, eller om något alls tagits, har fastställts i materialet som är tillgängligt för oss. Ändå är historien värd att förstå, eftersom den visar hur en kompromiss hos en professionell tjänstefirma kan fortplanta sig utåt till människor som aldrig har hört talas om den.

Vad utpressningsgruppen påstår

Enligt källrapporteringen säger en utpressningsgrupp att de har intrång i Deloitte och fick tillgång till känsliga filer. Rapporten ramar in påståendet kring vad som rapporteras vara i fara, men den ger ingen bekräftad förteckning över stulen data.

Detta påstående passar ett mönster som täckts i vår tidigare rapportering. Utpressningsgruppen Gentlemen har också påstått intrång hos MoneyGram och KFC, och satt utpressningsfrister för var och en. Vår bevakning av Gentlemen-utpressningslistorna för MoneyGram, Deloitte och KFC noterar att gruppen inte har släppt några dataprover. Den detaljen spelar roll, eftersom prover är ett av de främsta sätten för utomstående att bedöma om ett utpressningspåstående är trovärdigt.

Vad som är bekräftat och vad som inte är det

Det hjälper att separera fakta från påståendena.

Vad som rapporteras:

  • En utpressningsgrupp har offentligt påstått ett intrång hos Deloitte.
  • Påståendet säger att känsliga filer exponerades.
  • Relaterade påståenden mot andra företag har listats tillsammans med det, med utpressningsfrister.

Vad som inte är fastställt:

  • Huruvida intrånget faktiskt hände.
  • Vilken typ av data, om någon, som togs.
  • Huruvida några individer, klienter eller klienters kunder är påverkade.
  • Huruvida Deloitte har bekräftat, förnekat eller kommenterat påståendet på ett sätt som avgör saken.

Utpressningsgrupper överdriver ibland eller hittar på påståenden för att pressa offer eller få notoriskhet. Andra visar sig vara korrekta. Utan släppta prover eller en bekräftelse från företaget finns det ingen solid grund för att behandla påståendet som bevisat, eller för att avfärda det.

Varför intrång hos tredjepartsleverantörer utsätter konsumenter för risk

Deloitte är en konsultfirma, och företag som det hanterar ofta information på uppdrag av andra organisationer. Det är vinkeln som gör detta påstående anmärkningsvärt även medan det är overifierat. Om en professionell tjänsteleverantör innehar filer från sina klienter, skulle en kompromiss där i teorin kunna exponera information om dessa klienters anställda, kunder eller partner, varav ingen hade en direkt relation till leverantören.

Detta är kärnproblemet med tredjepartsrisk. Konsumenter kan vanligtvis inte se vilka leverantörer ett företag de litar på arbetar med. De samtycker till en integritetspolicy med en organisation, men deras data kan passera genom flera andra. När något går fel hos en leverantör kan avisering vara långsam, och människor kanske bara får veta om det genom ett brev från ett företag de knappt känner igen.

För att vara tydlig, artikeln säger inte att detta har hänt här. Det är en påminnelse om hur exponering kan färdas när det väl händer i liknande incidenter.

Hur du kontrollerar om dina data kan vara exponerade

Eftersom inget har bekräftats finns det ingen officiell lista över påverkade personer att kontrollera mot. Du kan ändå vidta förnuftiga åtgärder nu:

  • Sök dina e-postadresser i en intrångsnotistjänst. Verktyg som Have I Been Pwned låter dig se om din adress förekommer i kända intrångsdatamängder. För ett exempel på hur nya poster dyker upp där, se vår rapport om Crunchbase-intrånget som lägger till 559 908 e-postadresser i Have I Been Pwned. Notera att ett påstående som detta kanske aldrig visas i en sådan tjänst om inte data faktiskt släpps.
  • Anmäl dig för aviseringar. Många intrångstjänster meddelar dig om din adress förekommer i en framtida datamängd.
  • Håll koll på din post och inkorg. Om ett företag du har att göra med påverkas kan du få ett formellt meddelande. Verifiera det genom att gå direkt till företagets officiella webbplats istället för att klicka på länkar i meddelandet.
  • Var vaksam mot nätfiske. Nyheter om ett intrång används ofta som bete i bedrägerimejl. Behandla oväntade meddelanden om denna incident med försiktighet.

Vad detta betyder för dig

För de flesta är den praktiska risken just nu låg säkerhet snarare än hög alarm. Du behöver inte vidta drastiska åtgärder för ett overifierat påstående. Men ögonblicket är en bra påminnelse att skärpa vanor som hjälper i alla intrångsscenarier.

Använd unika lösenord för varje konto, helst med en lösenordshanterare. Aktivera multifaktorautentisering där det erbjuds. Granska dina konton för obekant aktivitet, och överväg att lägga en kreditfrysning om du får ett meddelande om att känsliga personuppgifter var inblandade. Dessa steg begränsar skadan oavsett om Deloitte-påståendet visar sig sant, falskt eller något däremellan.

Viktiga slutsatser

  • Deloitte dataintrång påståendet är overifierat, och inga dataprover har släppts av gruppen.
  • Kompromisser hos leverantörer och konsultfirmor kan påverka människor indirekt, vilket är varför de spelar roll för konsumenter.
  • Kontrollera dina e-postadresser med en intrångsnotistjänst som Have I Been Pwned, och aktivera aviseringar.
  • Förhåll dig skeptisk till oväntade mejl som refererar till incidenten.
  • Läs vår relaterade bevakning av Gentlemen-utpressningsgruppens påståenden, inklusive avsaknaden av släppta dataprover, och håll utkik efter officiell bekräftelse innan du drar slutsatser.

Vi kommer att fortsätta följa detta Deloitte dataintrång påstående och uppdatera läsarna om verifierade detaljer framkommer.