Η Ernst & Young LLP ενημερώνει πελάτες της ότι μη εξουσιοδοτημένο τρίτο μέρος παραβίασε πλατφόρμα support tickets που χρησιμοποιούσε το IT προσωπικό της, κατεβάζοντας έγγραφα με φορολογικά δεδομένα πελατών.
Η EY υπέβαλε γνωστοποιήσεις για την παραβίαση στο γραφείο του Γενικού Εισαγγελέα της Καλιφόρνιας στις 15 Ιουλίου 2026, επιβεβαιώνοντας την έκταση του περιστατικού.
Ernst & Young LLP (EY): Η παραβίαση στην πλατφόρμα IT
Σύμφωνα με επιστολή της EY με ημερομηνία 13 Ιουλίου 2026, η εταιρεία χρησιμοποιεί πλατφόρμα IT service management τρίτου μέρους για την υποστήριξη των εσωτερικών ομάδων που διαχειρίζονται εργασίες σχετικές με φορολογικά ζητήματα πελατών.
Τα support tickets που υποβάλλονταν μέσω της πλατφόρμας περιείχαν συχνά συνημμένα αρχεία με ευαίσθητες φορολογικές πληροφορίες.
Η EY εντόπισε ασυνήθιστη δραστηριότητα στην πλατφόρμα στις 23 Απριλίου 2026 και ενεργοποίησε άμεσα τις διαδικασίες αντιμετώπισης περιστατικών.
Ωστόσο, η έρευνα που πραγματοποιήθηκε σε συνεργασία με ανεξάρτητη εταιρεία κυβερνοασφάλειας έδειξε ότι ο εισβολέας είχε αποκτήσει πρόσβαση νωρίτερα, μεταξύ 28 Μαρτίου και 12 Απριλίου 2026.
Κατά το διάστημα αυτό, κατέβασε έγγραφα που αφορούσαν αρκετούς πελάτες της EY, πριν εντοπιστεί η παραβίαση.
Τα δεδομένα που εκτέθηκαν
Τα παραβιασμένα έγγραφα περιείχαν προσωπικές πληροφορίες που συνδέονταν με επενδυτικές συμμετοχές ατόμων σε θεσμικούς πελάτες της EY, καθώς και οικονομικά στοιχεία που χρησιμοποιούνταν για την προετοιμασία φορολογικών δηλώσεων.
Η EY ανέφερε ότι μέχρι στιγμής δεν έχει στοιχεία για κακή χρήση των δεδομένων ή ενδείξεις ότι συγκεκριμένα άτομα αποτέλεσαν σκόπιμο στόχο.
Το περιστατικό είναι διαφορετικό από άλλες πρόσφατες παραβιάσεις που συνδέονται με την EY, μεταξύ των οποίων έκθεση backup SQL Server 4TB που αφορούσε την ιταλική οντότητα της εταιρείας και είχε αποκαλυφθεί το 2025.
Οι πλατφόρμες IT service management και helpdesk αποτελούν ολοένα και συχνότερο στόχο, καθώς τα support tickets συγκεντρώνουν συχνά ευαίσθητα συνημμένα από πολλούς πελάτες σε ένα ενιαίο περιβάλλον τρίτου μέρους.
Για μια εταιρεία όπως η EY, η παραβίαση ενός τέτοιου συστήματος μπορεί να οδηγήσει σε έκθεση δεδομένων πολλών πελατών και των τελικών πελατών τους, αυξάνοντας τους κινδύνους για κανονιστικές κυρώσεις και ζημιά στη φήμη.
