Everest-ransomwaregruppen har listat PwC på sin utpressningssajt, vilket sätter ett av världens största nätverk för professionella tjänster i rampljuset. Påståendet är overifierat, och PwC har inte visats ha förlorat några data. Ändå är Everests påstående om exponering av PwC-data en användbar påminnelse om hur ett intrång hos en rådgivare kan drabba personer som aldrig har haft att göra med angriparen, eller ens med företaget självt.

Vad Everest hävdar om PwC

Enligt säkerhetsmedier som följer listningen säger Everest att de stal 590,69 GB data kopplade till PwC. En sammanfattning av listningen anger bytet till 108 426 filer och beskriver materialet som anställdas register och personuppgifter. Annan rapportering nämner HR-register och utbildningsmaterial. Ett LinkedIn-inlägg som cirkulerar påståendet gick längre och hänvisade till anställdas data och revisionsdata, men den beskrivningen kommer från kommentarer till påståendet och inte från verifierade bevis.

Det viktiga förbehållet är att inget av detta har bekräftats. En säkerhetsbulletin noterade att listningen inte åtföljdes av dataprover, tekniska detaljer eller oberoende bevis. Ransomwaregrupper listar offer för att skapa press, och en listning i sig bevisar inte att data har tagits, att den är autentisk eller att den kom från PwC:s system så som påstås. Tills PwC bekräftar en incident eller trovärdiga bevis framkommer bör läsare betrakta siffrorna ovan som påståenden.

Varför tredjepartsrådgivare är attraktiva utpressningsmål

Företag inom professionella tjänster innehar en stor mängd information som tillhör andra. Revisorer, konsulter och skatterådgivare tar emot finansiella register, avtal, anställdas uppgifter och interna dokument för att kunna utföra sitt arbete. Dessa filer finns ofta på ett och samma ställe, vilket gör ett enda lyckat intrång potentiellt värdefullt.

Det är här skillnaden mellan dataägare och datainnehavare spelar roll. Ett företag som lämnar register till en rådgivare kanske aldrig får veta att en angripare har dem om inte rådgivaren avslöjar det. Enskilda personer är ännu längre bort: en anställd vars uppgifter förekommer i en klients filer har ingen direkt relation till rådgivaren alls.

Det finns också en hävstångseffekt. Moderna ransomware-gäng förlitar sig sällan enbart på kryptering. De stjäl data först och hotar att publicera den, vilket är taktiken vi beskriver i vår förklaring om ransomware double extortion. Ett företag som betjänar många känsliga kunder har starka skäl att undvika en offentlig läcka, och angriparna vet det. Att namnge ett högprofilerat mål på en läcksajt drar också till sig uppmärksamhet, oavsett om påståendet håller.

Vad kunder och enskilda bör kontrollera nu

Det finns inget bekräftat intrång att reagera på, så målet är lugn förberedelse, inte panik. Några praktiska steg är värda att ta:

  • Håll utkik efter officiella meddelanden. Om PwC eller någon av dina egna rådgivare bekräftar en incident kommer meddelanden vanligtvis via e-post eller post. Läs dem noggrant och spara en kopia.
  • Verifiera innan du klickar. Påståenden som detta utlöser ofta nätfiske som imiterar ett intrångsmeddelande. Gå direkt till organisationens officiella webbplats i stället för att följa länkar i oväntade meddelanden.
  • Fråga dina egna kontakter. Om ditt företag arbetar med PwC, fråga din kontokontakt eller juridiska avdelning om de har informerats om något och vilka data som delades.
  • Granska vad du har skickat. Gör en grov lista över de person-, finans- eller anställdauppgifter som din organisation har lämnat till externa rådgivare. Du kan inte bedöma risken utan att veta vad som finns där ute.
  • Håll koll på konton. Om du är anställd eller kund hos ett företag som använder stora rådgivare, bevaka bank- och kreditaktivitet och var försiktig med oombedda samtal eller e-postmeddelanden som hänvisar till ditt jobb eller din ekonomi.

Hur du begränsar exponeringen när rådgivare har dina data

Du kan inte helt kontrollera hur en tredje part skyddar din information, men du kan minska vad de har och hur länge de behåller det.

Dela minimalt. Skicka bara de register som ett uppdrag kräver. Maskera eller ta bort fält som inte behövs, såsom fullständiga födelsedatum eller statliga ID-nummer.

Ange lagringsvillkor. Avtal kan specificera hur länge en rådgivare behåller data efter att ett projekt avslutats och kräva radering eller återlämnande därefter. Gamla filer som ligger kvar på ett företags servrar är exponering utan nytta.

Fråga om säkerhet och underrättelse. Organisationer kan begära information om hur rådgivare skyddar data och hur snabbt de måste informera kunder om en misstänkt incident. Snabbare underrättelse ger alla mer tid att reagera.

Använd god kontohygien. Om du använder en portal för att utbyta dokument, använd ett unikt lösenord och flerfaktorsautentisering. Detta stoppar inte en attack mot rådgivarens egna system, men det skyddar de konton du kontrollerar.

Lär av jämförbara fall. Pressmönstret är inte unikt för denna listning. I ATB-fallet som involverade en grupp som kallade sig DataSuckers kombinerades ett lösenskrav med påståenden om ett stort antal drabbade. Att läsa hur dessa situationer utvecklas hjälper dig att känna igen hur ett trovärdigt meddelande ser ut och hur en overifierad skrytsamhet ser ut.

Vad detta innebär för dig

Om du inte har någon koppling till PwC kräver inget i detta påstående någon åtgärd idag. Om du arbetar för eller med företaget, eller om din arbetsgivare delar data med stora rådgivare, är det kloka svaret att hålla dig informerad, undvika antaganden i båda riktningarna och hålla utkik efter officiell kommunikation. Den bredare lärdomen gäller alla: dina data kan finnas hos organisationer du aldrig valde, och risken beror delvis på hur lite av dem de har.

Viktiga slutsatser

Everests påstående om exponering av PwC-data är fortfarande overifierat, utan offentliga prover eller oberoende bekräftelse vid rapporteringstillfället. Ändå visar det varför rådgivare är attraktiva mål och varför kunder bör veta vad de har delat. Förstå hur double extortion fungerar, håll utkik efter intrångsmeddelanden från dina rådgivare och bemöt oväntade meddelanden om en incident med försiktighet. Att läsa vår förklaring om double extortion och ATB-fallet är ett bra nästa steg om du vill se hur dessa situationer tenderar att utvecklas.