Une revendication n’est pas une compromission
Beaucoup de revendications publiées sont recyclées à partir d’incidents plus anciens, assemblées à partir de sources publiques ou inventées pour pousser une organisation à payer. Certaines sont réelles. Il s’agit de les distinguer rapidement et de le dire avec un niveau de confiance déclaré.
Travailler à partir de ce qui est public
Les auteurs de revendications publient généralement une description, une liste de fichiers ou un petit extrait à l’appui de leur affirmation. Nous capturons la publication telle qu’un visiteur ordinaire la verrait, nous hachons la capture et nous travaillons uniquement à partir de ce qui est montré publiquement. Nous ne téléchargeons pas de jeux de données complets, ne rejoignons pas de groupes fermés et ne contactons pas l’auteur de la revendication.
Comparer les structures, pas les personnes
Les questions utiles sont structurelles. Les noms de champs, les formats et les modèles d’identifiants correspondent-ils à vos systèmes ? Les dates des enregistrements sont-elles compatibles avec la période d’accès alléguée ? L’extrait publié contient-il des valeurs que vos systèmes ne produiraient jamais ? Ces contrôles s’effectuent sur vos structures de données, sans que personne ne manipule les données personnelles de l’extrait.
Trois réponses possibles
Une vérification aboutit à l’une de ces trois conclusions : compatible avec vos données, incompatible avec vos données, ou ne pouvant pas encore être évaluée. Chacune est accompagnée des motifs, des sources et des limites de ce qui a été vérifié. Un résultat compatible ne prouve pas une compromission, et un résultat incompatible ne prouve pas que la revendication est fausse.
La suite
Si la revendication est compatible avec vos données, vos équipes de réponse aux incidents et vos équipes juridiques décident des mesures à prendre, y compris d’éventuelles obligations de notification. Nous conservons les captures hachées afin que l’analyse puisse être vérifiée ultérieurement. Nous n’annonçons jamais publiquement une compromission ; les constats sont transmis d’abord à l’organisation concernée, puis aux autorités lorsque cela est requis.