Neovlašteni pristup sustavu EY-a izložio je podatke klijenata među kojima su Goldman Sachs, Man Group i Tishman Speyer. Napadač je prema prijavama imao pristup od 28. ožujka do 12. travnja, a zahvaćeni zapisi uključuju imena, adrese, porezne identifikatore, adrese elektroničke pošte i financijske informacije. EY je incident povezao sa slabošću u softveru dobavljača Checkmarx, dok nema pokazatelja da su izravno kompromitirani informacijski sustavi navedenih klijenata.
Razlika je važna za razumijevanje lanca napada. Podaci koje savjetnik obrađuje mogu biti ukradeni iz njegova okruženja bez proboja u banku, fond ili nekretninsku kompaniju kojoj pripadaju. Klijent ipak snosi posljedice jer se informacije mogu upotrijebiti za prijevaru, krađu identiteta ili vrlo uvjerljivo ciljano lažno predstavljanje. Sigurnost podataka zato ovisi o svakom obrađivaču kojem je dopušten pristup.
Checkmarx proizvodi alate za provjeru sigurnosti programskog koda i razvojnog lanca. Takvi sustavi po prirodi imaju pristup repozitorijima, artefaktima, izvještajima o ranjivostima i vjerodajnicama potrebnima za automatizirani rad. Ako je račun ili integracija kompromitirana, napadač može dobiti povlašten pogled na okruženje upravo zato što alat treba širok pristup da bi obavio legitimnu provjeru.
Dobavljač je zasebno objavio tehničke obavijesti o incidentima u razvojnom lancu i poduzetim mjerama, ali javno dostupni materijal ne omogućuje poistovjećivanje svakog detalja s EY-ovim slučajem. Ispravno je razlikovati potvrđenu posljedicu od još nepotpune tehničke atribucije. Tvrdnja da je određeni propust bio početna točka treba se osloniti na forenzički zapis, verziju proizvoda, kompromitirani račun i preciznu vremensku crtu.
EY je slučaj prijavio regulatorima u četiri američke savezne države tijekom srpnja, nekoliko mjeseci nakon završetka neovlaštenog pristupa. Takav razmak ne mora značiti da je incident bio ignoriran: istraga često mora utvrditi koje su datoteke otvorene i kojoj osobi pripada svaki zapis. Za pogođene je ipak bitno znati kada je kompanija prvi put otkrila pristup, kada ga je zaustavila i zašto je procjena opsega trajala do obavijesti.
Skupina koja se predstavlja kao ShinyHunters preuzela je odgovornost, ali izjava napadača nije dokaz identiteta ni potpunosti ukradenog skupa. Kriminalne skupine preuveličavaju pristup radi ucjene i ugleda, a katkad objavljuju stare ili spojene podatke. Organizacije trebaju odluku o obavještavanju temeljiti na vlastitim zapisnicima, snimkama sustava i potvrđenom iznošenju, ne na pregovorima ili objavi na kriminalnom forumu.
Najvažnija obrambena mjera je ograničiti ovlasti integracijskog alata na najmanji potreban skup. Razvojni skener ne bi smio automatski imati pristup produkcijskim bazama ili mapama s klijentskim dokumentima. Kratkotrajne vjerodajnice, odvojeni servisni računi i segmentacija smanjuju štetu ako je dobavljač kompromitiran. Svaki pristup osjetljivom repozitoriju treba ostaviti zapis koji ne može mijenjati isti račun.
Ugovorna provjera dobavljača također mora postati konkretnija. Upitnik o certifikatima nije dovoljan ako ne obuhvaća način distribucije nadogradnji, zaštitu repozitorija, opoziv ključeva i rok obavještavanja. Kupac mora znati koje poddobavljače proizvod koristi i može li brzo isključiti integraciju bez zaustavljanja razvoja. Plan oporavka treba uvježbati prije incidenta, dok još postoji vrijeme za urednu rotaciju tajni.
Za pogođene osobe najveći je rizik spajanje podataka. Porezni identifikator, poslovni odnos i financijski zapis omogućuju napadaču poruku koja izgleda kao legitimna komunikacija banke ili savjetnika. Upozorenje korisnicima zato treba sadržavati konkretne radnje: provjeru računa, dodatnu potvrdu promjene podataka za plaćanje i oprez prema porukama koje se pozivaju
