一个勒索软件组织声称已入侵德勤并泄露了敏感文件。到目前为止，德勤数据泄露声明仍然只是一个声明。在我们可获取的材料中，尚无经过核实的细节说明什么被窃取，或者是否真的有东西被窃取。即便如此，这件事仍值得了解，因为它展示了一家专业服务公司的安全失陷如何向外波及到从未听说过它的人。
勒索软件组织声称了什么
根据报道来源，一个勒索软件组织称其入侵了德勤并获取了敏感文件。该报道围绕据称面临风险的内容来构建这一声明，但并未提供已确认的被盗数据清单。
这一声明符合我们此前报道中涉及的一种模式。Gentlemen勒索软件组织还声称入侵了MoneyGram和KFC，并为每个目标设定了赎金截止日期。我们对Gentlemen勒索软件组织列出MoneyGram、德勤和KFC的声明的报道指出，该组织尚未发布任何数据样本。这一细节很重要，因为样本是外界判断勒索软件声明是否可信的主要方式之一。
哪些已确认，哪些尚未确认
将事实与断言区分开来是有帮助的。
已报道的内容：
- 一个勒索软件组织公开声称入侵了德勤。
- 该声明称敏感文件已被泄露。
- 针对其他公司的相关声明与之一同列出，并附有赎金截止日期。
尚未确立的内容：
- 入侵是否真的发生。
- 如果有的话，被窃取的是什么类型的数据。
- 是否有任何个人、客户或客户的客户受到影响。
- 德勤是否已以能够了结此事的方式确认、否认或评论了这一声明。
勒索软件组织有时会夸大或捏造声明，以向受害者施压或博取名声。另一些则被证明是准确的。在没有发布样本或公司确认的情况下，没有可靠依据将此声明视为已证实，也没有依据将其否定。
为什么第三方供应商泄露会使消费者面临风险
德勤是一家咨询公司，类似的公司通常代表其他组织处理信息。这正是使这一声明即便未经证实也值得关注的角度。如果一家专业服务提供商持有其客户的文件，那么该处的安全失陷理论上可能暴露这些客户的员工、客户或合作伙伴的信息，而这些人中没有一个与该公司有直接关系。
这就是第三方风险的核心问题。消费者通常无法看到他们所信任的公司与哪些供应商合作。他们与一个组织签订隐私政策，但他们的数据可能流经其他多个组织。当供应商出了问题，通知可能很慢，人们可能只是通过一封来自他们几乎不认识的公司的信件才得知此事。
需要明确的是，这篇文章并未说此事已经发生。它只是提醒人们，在类似事件中当泄露确实发生时，暴露可以如何蔓延。
如何检查你的数据是否可能被泄露
由于尚无任何确认，没有官方的受影响人员名单可供核对。你现在仍然可以采取合理的步骤：
- 在泄露通知服务中搜索你的电子邮件地址。 诸如Have I Been Pwned之类的工具可以让你查看自己的地址是否出现在已知的泄露数据集中。关于新条目如何出现在那里的示例，请参阅我们关于Crunchbase泄露事件向Have I Been Pwned新增559,908个电子邮件地址的报道。请注意，像这样的声明除非数据确实被发布，否则可能永远不会出现在此类服务中。
- 注册通知。 许多泄露服务会在你的地址出现在未来的数据集中时提醒你。
- 留意你的邮件和收件箱。 如果你有往来的公司受到影响，你可能会收到正式通知。请直接访问该公司的官方网站进行核实，而不是点击消息中的链接。
- 警惕钓鱼攻击。 泄露新闻常被用作诈骗邮件的诱饵。对关于此事件的意外消息要持谨慎态度。
这对你意味着什么
对大多数人来说，目前的实际风险是低确定性而非高度警报。你不需要因为一个未经证实的声明而采取激烈行动。但此刻是一个很好的契机，来强化在任何泄露场景中都有帮助的习惯。
为每个账户使用唯一密码，最好配合密码管理器。在提供多因素认证的地方开启它。检查你的账户是否有陌生活动，如果你收到通知称涉及敏感个人信息，考虑设置信用冻结。无论德勤的声明被证明是真的、假的，还是介于两者之间，这些步骤都能限制损害。
关键要点
- 德勤数据泄露声明未经证实，该组织也未发布任何数据样本。
- 供应商和咨询公司的安全失陷可能间接影响到人们，这就是为什么它们对消费者很重要。
- 使用Have I Been Pwned等泄露通知服务检查你的电子邮件地址，并启用提醒。
- 对提及该事件的意外邮件保持怀疑。
- 阅读我们关于Gentlemen勒索软件组织声明的相关报道，包括其未发布数据样本的情况，并在得出结论前留意官方确认。
我们将继续关注这一德勤数据泄露声明，如有经核实的细节出现，将向读者更新。
