Isto é o que eu faria e verificar:
(tudo isso depende de quão paranóico você é e de quão confidencial os dados realmente são, os traduzidos para o próximo jogo flash do ueber-web-facebook não são tão confidenciais quanto as traduções para partes legais que estão planejando ter algum ataque de drogas internacional e precisa passar informações ao redor)
- Antes de mais nada: invalide todos os URLs que foram enviados
- Senha protege tudo, mas não diga a ninguém a senha
Coisas sob seu controle
- a mensagem foi realmente criptografada (talvez apenas assinada)
- verifique a máquina que criptografou o malware (se algum gateway acessível publicamente foi "criptografia de ponta a ponta real")
- alguém acessou a chave privada sem usar malware:
- repita o processo e verifique os registros
- repita o processo com uma nova chave e verifique os registros - informe aos destinatários sobre a nova chave
- repita o processo com uma nova chave e verifique os registros - não distribua a nova chave
Coisas não sob seu controle
- malware em qualquer uma das máquinas dos destinatários
Descubra quem é o cara mau
- envie um chamado URL seguro exclusivo para todas as pessoas em questão sem criptografia
- envie um URL seguro e exclusivo para todas as pessoas em questão criptografadas - isso é realmente opcional
(desculpe, mas enviar um URL desprotegido pelo GPG é quase o mesmo que enviar um URL protegido em texto não criptografado - as crianças de script vão encontrar essas coisas - também proteger no lado do servidor é, na minha experiência, mais valioso para um negócios desde que você tenha mais controle)
Finalmente
Eu tive um amigo muito orgulhoso de usar consistentemente o PGP para todas as conversões de correio dele. Isso é até que ele descobriu que ele acidentalmente tinha exportado sua chave privada e continuou mandando isso o tempo todo em vez da chave pública - engraçado na época, mas você nunca sabe o que o atinge (agora não fui eu, tenho muito preguiça de criptografar meus e-mails com PGP e explicá-lo aos clientes, eu costumo usar algum arquivo ZIP criptografado ou qualquer outra coisa que seja utilizável por pessoas não técnicas sem explicação)
Implemente senhas únicas para seus tradutores. Envie-lhes o material novo pelo correio.
Além disso, suponho que você tenha um consentimento por escrito de não distribuir material e tenha absoluta certeza de que não foi por coincidência que alguém com algum histórico técnico que escreveu scripts para receber e-mails criptografados e automagicamente faz outras coisas.
Além disso (novamente), qualquer possibilidade de que qualquer um dos destinatários tenha subcontratados que façam o trabalho real e que o e-mail seja encaminhado (possivelmente com a chave necessária para descriptografá-lo)
Por último, mas não menos importante: há essa coisa chamada acesso móvel, você ligou para todos para ter certeza de que não era um acesso válido em algum lugar que você não esperava?