EY-datalækket er et nyttigt casestudie i, hvordan risiko spreder sig gennem underleverandører. Angribere tilbragte efter sigende 15 dage inde i en tredjeparts IT-supportplatform, og berørte kunder ventede cirka 81 dage på at høre om det. Skattedata blev eksponeret. Selv hvis din revisor aldrig har rørt det berørte system, viser hændelsen, hvorfor det kan betale sig at spørge, hvem der ellers håndterer dine oplysninger.

Hvad vi ved om tidslinjen for EY-datalækket

EY bekræftede, at hackere havde adgang til en tredjeparts IT-supportplatform i 15 dage og dermed eksponerede kundernes skatteoplysninger. Baseret på offentlig rapportering og virksomhedens underretningsbreve ser forløbet sådan ud:

  • Angriberens adgangsvindue varede 15 dage og lukkede derefter.
  • EY identificerede unormal aktivitet den 23. april 2026, efter sigende elleve dage efter at adgangsvinduet var lukket.
  • Underretninger om datalækket blev indgivet i midten af juli 2026. En rapport indgivet til Vermont Attorney General's Office er dateret den 16. juli 2026.

Tallet på 81 dage, som har fået overskrifter, stammer fra den tidslinje, der citeres i dækningen. Nogle medier afrunder afstanden en smule anderledes (et sted angiver den til cirka 83 dage), afhængigt af hvilke datoer de regner fra. Det præcise tal betyder mindre end mønsteret: en lang periode mellem opdagelse og underretning.

Vores tidligere dækning af hvordan kunders skattefiler blev eksponeret gennem et IT-support-hack beskriver support-ticket-platformen i centrum for hændelsen.

Hvorfor en tredjeparts IT-supportplatform betyder noget

Support-ticketsystemer indsamler en masse oplysninger. Medarbejdere vedhæfter skærmbilleder, filer og fejllogs, så et problem kan diagnosticeres hurtigt. Den bekvemmelighed betyder, at følsomt materiale kan ende i et system, der aldrig var designet som et sikkert dokumentboks.

Det er den centrale lektie om underleverandører. En virksomhed kan have stærke kontroller på sine hovedsystemer og stadig være eksponeret gennem et værktøj, den bruger til rutineopgaver. For kunder er det svage punkt ofte usynligt: du stoler på din rådgiver, men du ved sjældent, hvilke platforme der ligger bag.

Kredsen af ofre er også blevet større. Senere oplysninger nævnte Goldman Sachs og Man Group blandt de berørte organisationer, hvilket viser, hvordan et kompromittering hos én underleverandør kan nå mange separate organisationer på én gang.

Underretningshullet: Hvorfor det tæller

En lang forsinkelse mellem opdagelse og underretning er ikke bare et proceduremæssigt problem. Efterforskning tager tid, og virksomheder skal finde ud af, hvis data der var involveret. Men hver dag uden underretning er en dag, hvor berørte personer ikke kan spærre kredit, holde øje med svigagtige indberetninger eller ændre adgangskoder.

Skattedata øger indsatsen. Rapporter indikerer, at eksponeringen kan omfatte personnumre (Social Security numbers). Den slags oplysninger gør det muligt for kriminelle at forsøge skatterefusionssvindel, åbne konti eller opbygge overbevisende phishing-beskeder. De personer, der er mest i risiko, er dem, der endnu ikke ved, at de er berørt.

Underrettede personer får tilbudt identitetsovervågning. Ifølge rapportering løber tilmeldingsvinduet indtil den 31. oktober 2026, så det er værd at handle inden da, hvis du modtager et brev.

Hvad det betyder for dig

Du behøver ikke være EY-kunde for at drage nytte af dette. Mange deler skattedokumenter med revisorer, lønudbydere og finansielle rådgivere, og enhver af dem kan være afhængig af tredjepartsplatforme.

Hvis du modtog et underretningsbrev, så behandl det som ægte og svar hurtigt. Underretningsbreve er den legitime måde, berørte personer bliver kontaktet på, men svindlere efterligner ofte dem efter et datalæk, så brug kontaktoplysningerne trykt på det officielle brev i stedet for links i uventede e-mails.

Hvis du ikke modtog et brev, har du stadig grund til at gennemgå din eksponering. Spørg din revisor eller rådgiver, om de bruger ekstern IT-support eller ticket-platforme, og om disse værktøjer kan indeholde klientfiler. Spørg også, hvad deres forpligtelse er til at underrette dig efter en hændelse. Vage svar er i sig selv information.

For en trin-for-trin gennemgang, se vores guide om hvordan du beskytter dine oplysninger efter EY-skattedatalækket.

Handlingsorienterede pointer

  • Anmod om en identitetsbeskyttelses-PIN eller tilsvarende. Mange skattemyndigheder tilbyder et ekstra lag, der forhindrer andre i at indberette i dit navn. Tjek, hvad din nationale eller statslige myndighed tilbyder.
  • Spær din kredit. En spærring er gratis i mange lande og forhindrer, at nye konti åbnes med stjålne oplysninger.
  • Overvåg skatterelateret aktivitet. Hold øje med uventede skatteudskrifter, afviste e-indberetninger eller breve fra skattemyndigheder om selvangivelser, du ikke har indsendt.
  • Brug overvågningstilbuddet. Hvis du blev underrettet, så tilmeld dig inden fristen den 31. oktober 2026.
  • Spørg om underleverandører og tidslinjer. Bed din revisor eller rådgiver oplyse, hvilke tredjeparter der berører dine data, og hvor hurtigt de forpligter sig til at underrette dig.
  • Begræns, hvad du sender. Del kun de dokumenter, en opgave kræver, og brug sikre portaler i stedet for e-mailvedhæftninger.
  • Vær opmærksom på phishing. Nyheder om datalæk øger forsøg på identitetsefterligning, så verificér enhver besked om dine skatter gennem officielle kanaler.

Konklusionen

EY-datalækket viser, at dine data kun er så sikre som det svageste værktøj i kæden, og at langsom underretning efterlader folk eksponeret længere end selve indtrængningen. Du kan ikke kontrollere en underleverandørs sikkerhed, men du kan kontrollere, hvor hurtigt du reagerer: spær din kredit og skatteidentitet, stil svære spørgsmål til de professionelle, der opbevarer dine oplysninger, og handl på enhver underretning, du modtager, inden fristerne udløber.