Витік даних постачальника Publica — це чергове нагадування про те, що організація може постраждати від атаки на компанію, якою вона сама не керує. За даними швейцарських федеральних органів влади, зовнішній постачальник програмного забезпечення, який використовує Publica, швейцарський федеральний пенсійний фонд, став жертвою кібератаки наприкінці вересня. Publica заявляє, що дані фонду, ймовірно, були викрадені. Деталі ще встановлюються, тому цей допис відокремлює те, що повідомляється, від того, що залишається відкритим.

Що відомо про витік даних постачальника Publica

Основні факти походять з офіційних повідомлень. Атака була націлена на зовнішнього постачальника програмного забезпечення, а не на власні системи Publica як точку входу. Publica заявляє, що її дані, ймовірно, були викрадені — це обережне формулювання: воно сигналізує про ймовірний витік, а не про повністю підтверджений масштаб. Експерти швейцарського федерального уряду працюють із постачальником програмного забезпечення над аналізом інциденту.

Кілька питань залишаються без відповіді в доступних нам матеріалах. Ми не маємо підтвердженої кількості постраждалих осіб, підтвердженого переліку категорій даних або заяви про те, чи були дані опубліковані чи продані. Доки органи влади не повідомлять більше, усе, що виходить за межі наведеного вище, є спекуляцією, і читачам слід ставитися до неофіційних тверджень з обережністю.

Які персональні дані можуть бути розкриті

Оскільки точний набір даних не було деталізовано в джерелах, які ми переглянули, чесна відповідь полягає в тому, що це ще не підтверджено. Що ми можемо сказати, то це загальне: пенсійний фонд працює з інформацією про учасників, такою як дані про особу та контактні дані, а також записи, пов'язані з їхніми пенсійними відносинами. Чи є щось із цього у викрадених матеріалах — це ще належить з'ясувати Publica та федеральним органам влади.

Ця невизначеність важлива для того, як вам реагувати. Замість того щоб припускати найгірше або відкидати ризик, плануйте на типи зловживань, які найчастіше супроводжують витоки персональної інформації: цільовий фішинг, видавання себе за іншу особу та спроби відкрити рахунки або змінити дані від вашого імені.

Як порушення у постачальників поширюють ризик

Інцидент ілюструє закономірність. Організації передають дані постачальникам програмного забезпечення та постачальникам керованих послуг, щоб повсякденна діяльність працювала безперебійно. Коли один із таких постачальників зазнає зламу, організація, яка володіє відносинами щодо даних, може бути втягнута в інцидент, який вона не спричинила безпосередньо.

У вихідній статті порушується корисний момент щодо того, як із цим поводитися. У ній описано, як постачальник керованих послуг (MSP), що підтримує постраждалу організацію, зберігає чіткий розподіл відповідальності: технічна сторона веде запис того, що сталося, тоді як призначені власники з боку клієнта керують комунікацією з учасниками та рішеннями щодо відносин стосовно даних. Логіка полягає в тому, що це зменшує ймовірність того, що технічне оновлення статусу перетвориться на необґрунтоване запевнення щодо персональної інформації. Іншими словами, «ми локалізували проблему» не повинно непомітно стати «ваші дані в безпеці».

У статті також окреслено безпосередню мету як придатний для використання виклад того, що відомо, що залишається відкритим і хто це вирішить. Це хороший тест для будь-якого повідомлення про порушення, яке ви отримаєте. Якщо повідомлення не може розповісти вам ці три речі, зверніться за роз'ясненням через офіційний канал.

Що це означає для вас: кроки, які постраждалі учасники можуть зробити зараз

Якщо ви є учасником Publica або маєте справу з фондом як роботодавець чи бенефіціар, є практичні кроки, які мають сенс, поки розслідування триває.

  • Дотримуйтеся офіційних джерел. Перевіряйте власний вебсайт Publica та повідомлення швейцарських федеральних органів влади щодо оновлень. Покладайтеся на них, а не на підсумки в соціальних мережах.
  • Очікуйте фішингу. Ставтеся скептично до електронних листів, текстових повідомлень або дзвінків, у яких згадується ваша пенсія, Publica або інцидент із даними. Не переходьте за посиланнями та не відкривайте вкладення в неочікуваних повідомленнях. Натомість самостійно зайдіть на офіційний вебсайт або скористайтеся контактними даними, яким ви вже довіряєте.
  • Ніколи не повідомляйте облікові дані на чийсь запит. Легітимна організація не проситиме ваш пароль або повні коди автентифікації електронною поштою чи телефоном.
  • Зміцніть свої акаунти. Використовуйте унікальні паролі для кожного сервісу, менеджер паролів, якщо бажаєте, та багатофакторну автентифікацію всюди, де вона пропонується.
  • Стежте за ознаками крадіжки особи. Звертайте увагу на незнайому активність в акаунтах, неочікувану пошту про послуги, які ви не замовляли, або зміни у ваших даних, яких ви не робили. Швидко повідомляйте про будь-що підозріле відповідній установі.
  • Зберігайте записи. Зберігайте будь-які офіційні повідомлення, які ви отримуєте, разом із датами, на випадок, якщо вони знадобляться вам пізніше.

VPN не вирішує цей тип інциденту. Дані, про які йдеться, зберігалися у постачальника, тому захист вашого власного з'єднання не змінить того, що могло бути розкрито. Ваш найкращий захист тут — пильність і належна гігієна акаунтів.

Головне

Витік даних постачальника Publica все ще розвивається, і найчіткіший підсумок такий: на постачальника програмного забезпечення було здійснено атаку наприкінці вересня, дані Publica, ймовірно, були викрадені, а федеральні експерти аналізують інцидент разом із постачальником. Поза цим — чекайте на підтверджені деталі.

Якщо ви можете бути постраждалими, дотримуйтеся офіційних повідомлень Publica та швейцарських федеральних органів влади, ставтеся з підозрою до неочікуваних повідомлень про вашу пенсію та стежте за ознаками крадіжки особи. Зберігати спокій і уважність зараз корисніше, ніж здогадуватися, якою виявиться остаточна картина.