‘Volledige e-mailsysteem van Deloitte was toegankelijk voor aanvallers’

De impact van het datalek bij Deloitte is mogelijk aanzienlijk groter dan tot nu toe werd gedacht. Beveiligingsonderzoeker Brian Krebs meldt op basis van een anonieme bron dat de aanvallers toegang hadden tot het volledige e-mailsysteem van Deloitte, evenals alle beheerdersaccounts.

The Guardian meldde maandag dat Deloitte is getroffen door een datalek, waarbij de daders vermoedelijk sinds oktober 2016 toegang hadden tot IT-systemen. De aanvallers zouden ondermeer toegang hebben gehad tot e-mailservers.

‘Slechts enkele klanten getroffen’

In een verklaring aan KrebsOnSecurity meldt Deloitte dat de hack is onderzocht en precies duidelijk is welke informatie mogelijk is ingezien door de aanvallers en welke handelingen deze hebben uitgevoerd. Op basis hiervan meldt Deloitte in de verklaring dat slechts enkele klanten door de cyberaanval zijn getroffen.

Een anonieme bron van Krebs die betrokken zou zijn bij het onderzoek schetst echter een volledig ander beeld. De bron geeft aan dat niet een kleine hoeveelheid e-mails zijn getroffen zoals eerder werd gerapporteerd, maar de volledige e-maildatabase van het bedrijf toegankelijk is geweest voor de aanvallers, evenals alle beheerdersaccounts. Ook geeft de bron aan dat klanten hierdoor niet door Deloitte op de hoogte zijn gesteld.

‘Aanvallers hebben mogelijk nog steeds toegang’

De bron stelt daarnaast dat Deloitte niet precies weet wanneer de aanval heeft plaatsgevonden en hoe lang de aanvallers toegang hebben gehad tot IT-systemen van het bedrijf. Wel bevestigt de bron dat de aanval ergens in de herfst van 2016 heeft plaatsgevonden. Deloitte zou nog niet met zekerheid hebben kunnen vaststellen dat de cybercriminelen niet langer toegang hebben tot de IT-systemen van het bedrijf.

Ook meldt Krebs dat Deloitte op 13 oktober 2016 al zijn Amerikaanse medewerkers heeft opgedragen hun wachtwoorden te wijzigen. Hierbij heeft het bedrijf richtlijnen verstrekt voor het kiezen van een sterk wachtwoord. Werknemers kregen tot 17 oktober de tijd hun wachtwoord te wijzigen; wie dit niet tijdig had gedaan zou niet langer toegang hebben tot zijn e-mail of andere applicaties van Deloitte.

Lees meer details over het datalek bij Deloitte in The Register.