La brecha de datos de EY es un caso de estudio útil sobre cómo el riesgo viaja a través de los proveedores. Se informa que los atacantes pasaron 15 días dentro de una plataforma de soporte de TI de terceros, y los clientes afectados esperaron aproximadamente 81 días para enterarse. Se expusieron datos fiscales. Incluso si tu contador nunca tocó el sistema afectado, el incidente muestra por qué conviene preguntar quién más maneja tus registros.

Lo que sabemos sobre la cronología de la brecha de datos de EY

EY confirmó que los hackers accedieron a una plataforma de soporte de TI de terceros durante 15 días, exponiendo información fiscal de clientes. Según los informes públicos y las cartas de notificación de la empresa, la secuencia es la siguiente:

  • La ventana de acceso del atacante duró 15 días y luego se cerró.
  • EY identificó actividad anómala el 23 de abril de 2026, supuestamente once días después de que terminara esa ventana de acceso.
  • Las notificaciones de la brecha se presentaron a mediados de julio de 2026. Un informe presentado ante la Oficina del Fiscal General de Vermont está fechado el 16 de julio de 2026.

La cifra destacada de 81 días proviene de la cronología citada en la cobertura. Algunos medios redondean la diferencia de forma ligeramente distinta (uno la sitúa en aproximadamente 83 días), según desde qué fechas cuenten. El número exacto importa menos que el patrón: un largo periodo entre la detección y la notificación.

Nuestra cobertura anterior sobre cómo se expusieron los archivos fiscales de clientes a través de un hackeo al soporte de TI describe la plataforma de tickets de soporte en el centro del incidente.

Por qué importa una plataforma de soporte de TI de terceros

Los sistemas de tickets de soporte recopilan mucha información. El personal adjunta capturas de pantalla, archivos y registros de errores para que un problema pueda diagnosticarse rápidamente. Esa comodidad significa que el material sensible puede terminar en un sistema que nunca fue diseñado como una bóveda segura de documentos.

Esta es la lección central sobre proveedores. Una empresa puede aplicar controles sólidos en sus sistemas principales y aun así quedar expuesta a través de una herramienta que usa para operaciones rutinarias. Para los clientes, el punto débil suele ser invisible: confías en tu asesor, pero rara vez sabes qué plataformas están detrás de él.

El círculo de víctimas también se ha ampliado. Divulgaciones posteriores nombraron a Goldman Sachs y Man Group entre las organizaciones afectadas, lo que muestra cómo un compromiso del lado de un proveedor puede alcanzar a muchas organizaciones separadas a la vez.

La brecha de notificación: por qué cuenta

Un largo retraso entre la detección y la notificación no es solo una cuestión procedimental. Las investigaciones llevan tiempo, y las empresas necesitan determinar qué datos estaban involucrados. Pero cada día sin notificación es un día en que las personas afectadas no pueden congelar su crédito, vigilar presentaciones fraudulentas ni cambiar contraseñas.

Los datos fiscales elevan las apuestas. Los informes indican que la exposición puede incluir números de Seguro Social. Ese tipo de información permite a los delincuentes intentar fraudes de reembolsos fiscales, abrir cuentas o construir mensajes de phishing convincentes. Las personas con mayor riesgo son aquellas que aún no saben que fueron afectadas.

A las personas notificadas se les está ofreciendo monitoreo de identidad. Según los informes, la ventana de inscripción se extiende hasta el 31 de octubre de 2026, así que vale la pena actuar antes de esa fecha si recibes una carta.

Qué significa esto para ti

No tienes que ser cliente de EY para sacar algo de esto. Muchas personas comparten documentos fiscales con contadores, proveedores de nómina y asesores financieros, y cualquiera de ellos puede depender de plataformas de terceros.

Si recibiste una carta de notificación, trátala como real y responde con prontitud. Las cartas de notificación son la forma legítima en que se está contactando a las personas afectadas, pero los estafadores suelen imitarlas después de una brecha, así que usa los datos de contacto impresos en la carta oficial en lugar de enlaces en correos electrónicos inesperados.

Si no recibiste una carta, aún tienes razones para revisar tu exposición. Pregunta a tu contador o asesor si usa soporte de TI o plataformas de tickets externas, y si esas herramientas pueden contener archivos de clientes. También pregunta cuál es su compromiso de notificarte después de un incidente. Las respuestas vagas son información en sí mismas.

Para una guía paso a paso, consulta nuestra guía sobre cómo proteger tus registros después de la brecha de datos fiscales de EY.

Conclusiones prácticas

  • Solicita un PIN de protección de identidad o equivalente. Muchas agencias fiscales ofrecen una capa adicional que impide que otra persona presente una declaración en tu nombre. Consulta qué ofrece tu agencia nacional o estatal.
  • Congela tu crédito. Una congelación es gratuita en muchos países y evita que se abran nuevas cuentas con datos robados.
  • Monitorea la actividad relacionada con impuestos. Vigila transcripciones fiscales inesperadas, declaraciones electrónicas rechazadas o cartas de autoridades fiscales sobre declaraciones que no presentaste.
  • Usa la oferta de monitoreo. Si fuiste notificado, inscríbete antes de la fecha límite del 31 de octubre de 2026.
  • Pregunta sobre proveedores y plazos. Solicita que tu contador o asesor revele qué terceros tocan tus datos y con qué rapidez se comprometen a notificarte.
  • Limita lo que envías. Comparte solo los documentos que una tarea requiera y usa portales seguros en lugar de archivos adjuntos por correo electrónico.
  • Vigila el phishing. Las noticias sobre brechas alimentan los intentos de suplantación, así que verifica cualquier mensaje sobre tus impuestos a través de canales oficiales.

La conclusión

La brecha de datos de EY muestra que tus datos solo están tan seguros como la herramienta más débil de la cadena, y que una notificación lenta deja a las personas expuestas más tiempo que la propia intrusión. No puedes controlar la seguridad de un proveedor, pero sí puedes controlar la rapidez con que reaccionas: protege tu crédito y tu identidad fiscal, haz preguntas difíciles a los profesionales que tienen tus registros y actúa ante cualquier notificación que recibas antes de que pasen los plazos.