La empresa paraguas Parasol se encuentra bajo fuego por su manejo de las consecuencias de un presunto ataque de ransomware en sus sistemas hace cinco semanas, luego de que confirmara que el incidente pudo haber llevado a que los datos personales de sus contratistas se vieran comprometidos.
El ataque de enero de 2022 a Parasol llevó a la empresa a deshabilitar y eliminar de forma proactiva sus sistemas orientados al cliente de la web en los días siguientes, y ha provocado una interrupción generalizada de los ciclos del día de pago de miles de contratistas en todo el Reino Unido.
La empresa matriz de Parasol, Optionis Group, confirmó en un correo electrónico a sus contratistas el 7 de febrero de 2022 que su equipo de seguridad de TI había descubierto evidencia de que “algunos datos” se habían copiado y filtrado en línea desde el ataque a sus sistemas el mes pasado.
El correo electrónico, firmado por el CEO de Optionis Group, Doug Crawford, decía que la empresa no ha podido “determinar la naturaleza precisa de la información” contenida en esa filtración, pero que notificaría a sus contratistas y empleados de inmediato si supiera que sus datos personales habían sido filtrados. sido comprometido.
“Sentimos que era importante informarle sobre este desarrollo y podemos asegurarle que le informaremos con carácter de urgencia si descubrimos que los datos personales, que probablemente resulten en un alto riesgo para usted, han sido filtrado”, agregó el correo electrónico.
En el momento de escribir este artículo, Optionis no ha publicado más detalles sobre la cantidad o el tipo de datos comprometidos por la violación, ni está claro cuántos contratistas pueden haber sido afectados por el incidente.
“Desafortunadamente, no podemos brindar más información en esta etapa, pero reiteramos que nuestro equipo de expertos en seguridad cibernética está trabajando lo más rápido posible en la investigación”, dijo la compañía en una declaración de seguimiento a Computer Weekly. .
Empresas de contabilidad
Además de Parasol, Optionis Group también posee y opera varias empresas de contabilidad centradas en contratistas, incluidas Nixon Williams y SJD Accountancy. Se entiende colectivamente que el Grupo brinda servicios a alrededor de 28,000 contratistas en todo el Reino Unido.
Hablando con Computer Weekly bajo condición de anonimato, una fuente del mercado paraguas dijo que la cantidad de contratistas que emplea el grupo, junto con su gama relativamente amplia de intereses comerciales, significa que la compañía está sentada sobre un “tesoro oculto” potencialmente enorme de datos para los ciberdelincuentes. .
“Dentro de Optionis, tienes una empresa paraguas y varias firmas de contabilidad, por lo que la cantidad de datos personales que tendrán será absolutamente fenomenal”, dijo la fuente. “Estás hablando de nombres, números de teléfono y direcciones de correo electrónico [for their contractors]pero también van a tener datos bancarios”.
La fuente agregó: “Son empleadores en toda regla, por lo que realizarán controles de derecho a trabajar. [for their contractors] y eso significa que tendrán documentos de identificación potencialmente archivados, incluidos pasaportes y licencias de conducir también”.
El hecho de que varias de las marcas de Optionis Group también se especialicen en la prestación de servicios de asesoría fiscal y contable a contratistas de sociedades limitadas también significa que la empresa es responsable de tener en su poder las cuentas y declaraciones de impuestos de la empresa, agregó la fuente.
“Es un tesoro de datos bastante fenomenal que está potencialmente en juego aquí, y la pregunta del millón es cuánto de eso ha sido expuesto”.
Además de querer saber más sobre la cantidad y el tipo de datos afectados por la filtración, los contratistas de la empresa también están interesados en saber por qué la empresa tardó cinco semanas en descubrir y notificarles que sus datos pueden haber sido comprometidos.
Especialmente porque Computer Weekly ha visto copias de correos electrónicos del CEO de Optionis Group de hace varias semanas que afirman que el ataque a sus sistemas no parece haber provocado la pérdida o el compromiso de ningún dato personal.
Un correo electrónico enviado por la empresa el viernes 14 de enero de 2022 decía que “las investigaciones actualmente indican que su información personal no ha sido extraída”.
La divulgación de la violación de datos cuestiona esa declaración anterior, dijo un contratista, que habló con Computer Weekly bajo condición de anonimato, al tiempo que sugirió que la empresa aún está aceptando el daño que el ataque de enero ha causado a sus sistemas.
“Pasamos de ser informados de que no se habían perdido datos a descubrir que, en realidad, nuestra información ha sido potencialmente robada y filtrada en la web”, dijo el contratista. “¿Qué ha tardado cinco semanas la firma en avisarnos de esta situación?”.
A raíz de la noticia de la ruptura de la filtración de datos, Computer Weekly también ha sido contactado por contratistas que dejaron de trabajar para Parasol después del ataque cibernético del mes pasado y ahora están consternados al descubrir que la empresa no se ha puesto en contacto directamente con ellos sobre el incumplimiento.
“Ya no tengo un contrato activo con un cliente a través de Parasol, pero técnicamente sigo siendo un empleado y no he oído nada”, dijo un contratista a Computer Weekly.
Declaración de la empresa
Computer Weekly preguntó si los contratistas que dejaron de trabajar en las últimas semanas para Optionis Group deberían haber sido incluidos en el correo de violación de datos, y la compañía proporcionó la siguiente declaración en respuesta: “Estamos investigando la naturaleza precisa de esta información como una prioridad y estamos comunicarse con aquellos que pueden haber sido afectados”.
El correo electrónico de alerta de violación de datos también indicó que Optionis se ha asociado con la firma de informes crediticios Experian para proporcionar a los contratistas una “línea de ayuda dedicada” que pueden usar para plantear cualquier consulta que tengan sobre la violación de datos.
Sin embargo, los contratistas ahora piden a la empresa que dé un paso más y les brinde acceso gratuito a los servicios de detección de robo de identidad y monitoreo de crédito pagados de Experian a raíz de su violación de datos.
Computer Weekly envió esta solicitud a Optionis, pero la empresa no abordó directamente la pregunta en su declaración de respuesta.
“La línea de ayuda de Experian se ha establecido específicamente en relación con este incidente, por lo que alentamos a las personas que tengan alguna pregunta a aprovechar los servicios hasta que podamos proporcionar una actualización adicional”, dijo.