Рансъмуер групата Everest обяви, че е откраднала 590 GB данни от международната консултантска компания PwC, включително лична информация за служители, вътрешни корпоративни документи, изходен код и данни за достъп до системи. Нападателите са публикували информация за предполагаемия пробив в своя сайт за изтичане на данни в тъмната мрежа и са дали на компанията четири дни, за да започне преговори.
Към момента на публикуване на първоначалния материал твърденията на престъпната група не са независимо потвърдени. Според Cybernews нападателите все още не са предоставили примерни файлове, които да докажат автентичността и пълния обхват на предполагаемо откраднатата информация. Не е потвърдено и дали PwC е била компрометирана в описания мащаб.
PwC е една от най-големите международни мрежи за професионални услуги, работеща в областта на одита, данъчното консултиране и бизнес консултациите. Компанията обслужва организации от множество сектори, което прави евентуалното изтичане на нейни вътрешни данни потенциален риск не само за самата нея, но и за служители, клиенти и бизнес партньори.
Какви данни твърдят, че са откраднали нападателите?
Според публикуваното от Everest предполагаемият набор от данни съдържа широк спектър от информация за служители от различни държави. Сред изброените категории са имена, служебни и лични имейл адреси, телефонни номера, адреси, длъжности, ръководители и дати на назначаване или напускане.
Групата твърди, че разполага и с чувствителни идентификационни и данъчни номера, включително мексиканските CURP, RFC, IMSS и INFONAVIT. В набора според публикацията присъстват и записи за трудовия статус на служители, включително отсъствия по майчинство и родителски отпуск, продължителни заболявания, прекратени трудови правоотношения и починали лица.
Ако тези данни са автентични, комбинацията от идентификационна информация и подробности за трудовата история би могла да бъде използвана за измами, кражба на самоличност и целенасочени атаки срещу служители.
Вътрешни методологии, клиентски справки и изходен код
Сред останалите категории, посочени от Everest, са обучителни материали и вътрешни методологии за одит, включително съдържание, свързано с Aura, оценката на риска, международните стандарти за финансово отчитане и одиторските стандарти ISA и PCAOB.
Нападателите твърдят, че разполагат и с информация за клиентски ангажименти, вътрешни справочници за бюджети и ресурси, списъци с имена на клиенти и проекти, както и контактни данни на партньори и ръководители на екипи. В публикацията се споменават приблизително 2000 клиентски имена и около 20 000 ангажимента.
Особено чувствителна е заявената наличност на изходен код, включително реализации на механизми за еднократно удостоверяване (SSO) на C# и Java, уеб приложение Vantage и стотици JavaScript файлове от системи за електронно обучение.
В набора според групата има още конфигурации за криптиране, настройки за трансфер на файлове, технически документи за интеграции между PwC и Cornerstone, както и списъци с потребителски идентификатори, отбелязани за изтриване съгласно процедури, свързани с Общия регламент за защита на данните (GDPR).
Cybernews съобщава също за хиляди криптирани OpenPGP файлове, чието съдържание не може да бъде установено само въз основа на описанието, както и за оперативни логове от различни периоди.
Тези подробности засега представляват твърдения на нападателите, а не независимо потвърден опис на компрометирани данни. Не може да се заключи, че всички изброени категории са действително откраднати, че информацията е актуална или че достъпът до нея е бил получен чрез директно проникване в основната инфраструктура на PwC.
Рискът не се изчерпва с публикуването на файлове
Ако бъде потвърдено, подобно изтичане би могло да създаде няколко различни вида риск. Личните данни могат да бъдат използвани за измами и убедителни фишинг кампании, насочени към служители и техните колеги. Информацията за длъжности, ръководители и реални бизнес отношения позволява на нападателите да създават съобщения, които изглеждат като легитимна вътрешна кореспонденция.
Данните за клиенти и проекти могат да подпомогнат целенасочени атаки срещу организации, които работят с PwC. Вътрешните технически документи биха могли да разкрият подробности за архитектурата на приложенията и обмена на данни между системи.
Ако сред предполагаемо откраднатите файлове действително има активни идентификационни данни, ключове или настройки за достъп, те биха могли да създадат допълнителен риск за свързани системи. Това обаче зависи от тяхната валидност, обхват и наличието на допълнителни защитни механизми. Самото твърдение, че в набора има конфигурации за криптиране или SFTP, не доказва, че нападателите разполагат с работещи ключове за достъп.
За компаниите, които обработват значителни обеми чувствителна клиентска и служебна информация, случаят подчертава необходимостта от ограничаване на привилегиите, управление и периодична подмяна на тайните, контрол върху достъпа до вътрешни документи и наблюдение за необичайни действия в корпоративните системи.
Изнудване чрез заплаха за публикуване
Даването на кратък срок за започване на преговори е характерен елемент от тактиката на рансъмуер групите, които използват заплахата за публично разкриване на данни като средство за натиск. При подобни операции престъпниците могат да комбинират криптиране на системи с кражба на информация, но в конкретния случай предоставеният материал не установява дали е имало криптиране или прекъсване на услуги.
Cybernews съобщава, че е потърсила PwC за коментар. В материала не е включен отговор на компанията, поради което не може да се направи заключение дали тя е потвърдила инцидента, започнала е разследване или е предприела конкретни защитни действия.
Докато не бъдат представени допълнителни доказателства или официална позиция, случаят трябва да се разглежда като непотвърдено твърдение за мащабно изтичане на корпоративни данни. Потенциалната сериозност е значителна, но заявеният обем от 590 GB сам по себе си не доказва нито автентичността на данните, нито реалното въздействие върху PwC и нейните клиенти.
