Společnost Ernst & Young, jedna z největších firem poskytujících profesionální služby na světě, oznámila únik dat zahrnující citlivé klientské daňové záznamy. Podle zprávy Cybernews získali útočníci přístup k platformě pro správu IT služeb třetí strany, kterou EY používala k podpoře svých daňových operací. Incident připomíná, že i ty nejzavedenější finanční a účetní firmy spoléhají na externí dodavatele při každodenním provozu a tito dodavatelé se mohou stát nejslabším článkem v jinak silném bezpečnostním řetězci.

Pokud jste klientem EY, zaměstnancem nebo prostě někým, kdo chce vědět, jak po takovém úniku chránit daňové záznamy, zde je shrnutí, co se stalo, koho se to pravděpodobně týká a jaké konkrétní kroky byste měli okamžitě podniknout.

Co únik z EY odhalil a kdo je v ohrožení

Podle oznámení únik nepocházel z hlavních systémů EY. Místo toho útočníci kompromitovali platformu pro správu IT služeb třetí strany, tedy druh nástroje, který firmy používají k zaznamenávání požadavků na podporu, sledování technických požadavků a řízení interních pracovních postupů. Protože tato platforma byla propojena s funkcemi daňové podpory, zdá se, že obsahovala citlivou daňovou dokumentaci, kterou klienti předkládali v rámci běžných servisních požadavků.

To je důležité, protože platformy IT podpory jsou často považovány za nízko rizikové interní nástroje, i když nakonec uchovávají vysoce citlivé přílohy, jako jsou daňová přiznání, finanční výkazy nebo osobní identifikační údaje. Naše dřívější zpravodajství o incidentu, Únik dat z EY odhaluje klientské daňové soubory prostřednictvím hacku IT podpory, podrobně popisuje, jak se kompromitovaný systém požadavků stal nečekaným úložištěm přesně toho druhu dat, o která útočníci nejvíce stojí: čísla sociálního pojištění, podrobnosti o příjmech a historii podání.

Každý, kdo v dotčeném období předkládal daňové dokumenty prostřednictvím kanálů podpory EY, by měl předpokládat, že jeho informace mohly být vystaveny, dokud EY nebo dodavatel nepotvrdí opak.

Okamžité kroky pro klienty EY: Monitorování a výstrahy před podvody

Pokud jste obdrželi oznámení od EY nebo se domníváte, že můžete být dotčeni, nečekejte na definitivní odpověď, než začnete jednat. Úniky daňových dat jsou obzvláště nebezpečné, protože otevírají dveře krádeži identity, která se může odehrávat v průběhu měsíců, nikoli dnů.

Začněte těmito kroky:

  • Požádejte o ochranný PIN identity od IRS. Toto šestimístné číslo zabrání komukoli jinému podat daňové přiznání s použitím vašeho rodného čísla, i když má vaše osobní údaje.
  • Nastavte si upozornění na podvod nebo zmrazení úvěru. Kontaktujte hlavní úvěrové agentury a umístěte na svůj úvěrový soubor upozornění na podvod nebo zmrazení. To ztíží zločincům otevírat nové účty na vaše jméno.
  • Sledujte oznámení od IRS o duplicitních podáních. Pokud IRS označí přiznání podané pod vaším jménem, které jste nepodali, je to včasný varovný signál krádeže identity související s daněmi.
  • Pečlivě si pročtěte veškerou komunikaci od EY. Legitimní oznámení o úniku po vás nebudou chtít, abyste klikli na odkaz a zadali své rodné číslo nebo bankovní údaje. Podvodníci často zneužívají zprávy o únicích jako zástěrku pro pokusy o phishing.

Rychlé jednání zúží okno, během něhož mohou útočníci zneužít ukradená daňová data, než je zachytíte vy nebo IRS.

Zabezpečení daňových dokumentů a finančních dat do budoucna

Kromě okamžité reakce je tento únik dobrou příležitostí zamyslet se nad tím, jak obecně ukládáte a sdílíte daňové dokumenty, ať už jste klientem EY, či nikoli.

Vyhněte se zasílání daňových přiznání, formulářů W-2 nebo čísel sociálního pojištění jako nechráněných příloh e-mailem. Pokud vás firma nebo platforma požádá o nahrání citlivých dokumentů prostřednictvím požadavku podpory nebo webového portálu, zeptejte se, jak jsou tato data ukládána a na jak dlouho. Smažte staré kopie daňových dokumentů z cloudových disků nebo e-mailových schránek, jakmile už je nepotřebujete, a uchovávejte jediný, dobře chráněný archiv namísto roztroušených kopií napříč více službami.

Také stojí za to zeptat se svého účetního nebo daňového poradce přímo, na jaké nástroje třetích stran spoléhají a zda bezpečnost těchto dodavatelů prošla auditem. Incident EY ukazuje, že riziko nespočívá jen ve firmě, kterou jste si najali, ale v každé platformě v dodavatelském řetězci této firmy.

Může VPN nebo šifrované úložiště v této situaci skutečně pomoci?

VPN nezvrátí únik, ke kterému již došlo na serveru dodavatele, ale hraje roli při snižování vaší expozice do budoucna. Používání VPN šifruje váš internetový provoz, což pomáhá zabránit útočníkům v zachycení citlivých dokumentů při jejich nahrávání do daňového portálu, zejména ve veřejných nebo sdílených Wi-Fi sítích.

Šifrované cloudové úložiště přidává další vrstvu ochrany tím, že zajišťuje, že i když je poskytovatel úložiště kompromitován, vaše soubory zůstanou nečitelné bez vašeho dešifrovacího klíče. Konkrétně pro citlivé daňové dokumenty vyhledávejte služby úložiště, které nabízejí end-to-end šifrování, a nespoléhejte se pouze na serverové šifrování poskytovatele, ke kterému má poskytovatel obvykle přístup.

Ani jeden z těchto nástrojů nenahradí správné návyky, jako je používání ochranného PIN identity od IRS nebo sledování úvěrové zprávy, ale společně snižují počet způsobů, jak mohou vaše daňová data uniknout.

Co to pro vás znamená

Únik EY podtrhuje širší pravdu: bezpečnost vašich daňových dat nezávisí jen na firmě, které důvěřujete, ale na každém dodavateli a platformě, kterou tato firma využívá v zákulisí. Ať už jste tímto incidentem přímo dotčeni, nebo ne, je to užitečný impuls zkontrolovat vlastní expozici, zpřísnit způsob sdílení finančních dokumentů a nastavit monitorování, které odhalí krádež identity včas, dříve než dojde k napáchání škod.

Praktické kroky k zapamatování

  • Pokud jste klientem EY, požádejte nyní o ochranný PIN identity od IRS a zřiďte si upozornění na podvod nebo zmrazení úvěru.
  • Sledujte oznámení IRS ohledně duplicitních přiznání podaných pod vaším jménem.
  • Přestaňte posílat nechráněné daňové dokumenty e-mailem; místo toho používejte šifrované úložiště nebo portály.
  • Zeptejte se jakékoli firmy, která spravuje vaše daňové údaje, na jaké nástroje třetích stran spoléhá a jak jsou tato data chráněna.
  • Při nahrávání citlivých finančních dokumentů ve veřejných nebo sdílených sítích používejte VPN.

Pro úplné technické podrobnosti o tom, jak k úniku došlo, stojí za to si celou původní zprávu o incidentu týkajícím se expozice daňových dat EY přečíst; nabízí užitečný kontext pro každého, kdo se rozhoduje, jak vážně brát svou vlastní expozici.