Datový únik EY je užitečnou případovou studií toho, jak riziko putuje prostřednictvím dodavatelů. Útočníci údajně strávili 15 dní uvnitř platformy IT podpory třetí strany a postižení klienti čekali přibližně 81 dní, než se o tom dozvěděli. Byly vystaveny daňové údaje. I když se váš účetní nikdy nedotkl postiženého systému, incident ukazuje, proč se vyplatí ptát se, kdo další zpracovává vaše záznamy.

Co víme o časové ose datového úniku EY

EY potvrdila, že hackeři měli 15 dní přístup k platformě IT podpory třetí strany, čímž vystavili daňové informace klientů. Na základě veřejného zpravodajství a oznamovacích dopisů společnosti vypadá sled událostí takto:

  • Okno přístupu útočníka trvalo 15 dní a poté se uzavřelo.
  • EY identifikovala anomální aktivitu 23. dubna 2026, údajně jedenáct dní po skončení tohoto okna přístupu.
  • Oznámení o úniku byla podána v polovině července 2026. Zpráva podaná Úřadu generálního prokurátora státu Vermont je datována 16. července 2026.

Hlavní údaj 81 dní pochází z časové osy citované ve zpravodajství. Některá média zaokrouhlují tento rozdíl mírně odlišně (jedno uvádí přibližně 83 dní) v závislosti na tom, od kterých dat počítají. Přesné číslo je méně důležité než vzorec: dlouhé období mezi odhalením a oznámením.

Naše dřívější zpravodajství o tom, jak byly daňové soubory klientů vystaveny prostřednictvím hacku IT podpory popisuje platformu pro podpůrné tikety, která je středem incidentu.

Proč záleží na platformě IT podpory třetí strany

Systémy pro podpůrné tikety shromažďují mnoho informací. Zaměstnanci přikládají snímky obrazovky, soubory a protokoly chyb, aby bylo možné problém rychle diagnostikovat. Tato výhoda znamená, že citlivý materiál může skončit v systému, který nikdy nebyl navržen jako bezpečné úložiště dokumentů.

To je klíčové ponaučení o dodavatelích. Firma může provozovat silné kontroly na svých hlavních systémech a přesto být vystavena prostřednictvím nástroje, který používá pro rutinní operace. Pro klienty je slabé místo často neviditelné: důvěřujete svému poradci, ale zřídka víte, které platformy stojí za ním.

Okruh obětí se také rozšířil. Pozdější zveřejnění jmenovala Goldman Sachs a Man Group mezi postiženými organizacemi, což ukazuje, jak jeden kompromis na straně dodavatele může zasáhnout mnoho samostatných organizací najednou.

Mezera v oznámení: Proč záleží

Dlouhé zpoždění mezi odhalením a oznámením není jen procedurální záležitostí. Vyšetřování nějakou dobu trvá a společnosti potřebují zjistit, čí data byla zasažena. Ale každý den bez oznámení je dnem, kdy postižení lidé nemohou zmrazit úvěr, sledovat podvodná podání nebo změnit hesla.

Daňové údaje zvyšují sázky. Zprávy naznačují, že expozice může zahrnovat čísla sociálního zabezpečení. Tento druh informací umožňuje zločincům pokusit se o podvod s vrácením daní, otevírat účty nebo vytvářet přesvědčivé phishingové zprávy. Nejvíce ohroženi jsou ti, kteří ještě nevědí, že byli postiženi.

Oznámeným jednotlivcům je nabízeno monitorování identity. Podle zpravodajství běží období pro registraci do 31. října 2026, takže pokud obdržíte dopis, vyplatí se jednat před tímto datem.

Co to znamená pro vás

Nemusíte být klientem EY, abyste si z toho něco odnesli. Mnoho lidí sdílí daňové dokumenty s účetními, poskytovateli mezd a finančními poradci a kterýkoli z nich může záviset na platformách třetích stran.

Pokud jste obdrželi oznamovací dopis, berte ho vážně a reagujte neprodleně. Oznamovací dopisy jsou legitimním způsobem, jak jsou postižení lidé kontaktováni, ale podvodníci je po úniku často napodobují, proto používejte kontaktní údaje vytištěné na oficiálním dopise, nikoli odkazy v neočekávaných e-mailech.

Pokud jste dopis neobdrželi, stále máte důvod prověřit své vystavení riziku. Zeptejte se svého účetního nebo poradce, zda používá externí IT podporu nebo tiketovací platformy a zda tyto nástroje mohou obsahovat soubory klientů. Zeptejte se také, jaký je jejich závazek vás informovat po incidentu. Vágní odpovědi jsou samy o sobě informací.

Pro podrobný postup krok za krokem si přečtěte našeho průvodce jak chránit své záznamy po daňovém datovém úniku EY.

Praktická doporučení

  • Požádejte o PIN pro ochranu identity nebo ekvivalent. Mnohé daňové úřady nabízejí dodatečnou vrstvu, která někomu jinému zabrání podat přiznání vaším jménem. Zjistěte, co nabízí váš národní nebo státní úřad.
  • Zmrazte svůj úvěr. Zmrazení je v mnoha zemích zdarma a zastaví otevírání nových účtů s ukradenými údaji.
  • Sledujte aktivity související s daněmi. Dávejte pozor na neočekávané daňové přepisy, zamítnutá elektronická podání nebo dopisy od daňových úřadů o přiznáních, která jste nepodali.
  • Využijte nabídku monitorování. Pokud jste byli oznámeni, zaregistrujte se před termínem 31. října 2026.
  • Ptejte se na dodavatele a časové lhůty. Požádejte svého účetního nebo poradce, aby uvedl, které třetí strany přicházejí do styku s vašimi daty a jak rychle se zavazují vás informovat.
  • Omezte, co posíláte. Sdílejte pouze dokumenty, které úkol vyžaduje, a používejte zabezpečené portály místo e-mailových příloh.
  • Dávejte pozor na phishing. Zprávy o únicích podněcují pokusy o vydávání se za jinou osobu, proto ověřujte jakoukoli zprávu o vašich daních prostřednictvím oficiálních kanálů.

Shrnutí

Datový únik EY ukazuje, že vaše data jsou v bezpečí jen tak jako nejslabší nástroj v řetězci a že pomalé oznámení ponechává lidi vystavené déle než samotné vniknutí. Nemůžete ovlivnit zabezpečení dodavatele, ale můžete ovlivnit, jak rychle zareagujete: zabezpečte svůj úvěr a daňovou identitu, klástě náročné otázky profesionálům, kteří uchovávají vaše záznamy, a jednejte podle každého oznámení, které obdržíte, než vyprší lhůty.