Ernst & Young, una de las mayores firmas de servicios profesionales del mundo, ha revelado una filtración de datos que involucra registros fiscales confidenciales de clientes. Según informó Cybernews, los atacantes lograron acceder a una plataforma externa de gestión de servicios de TI que EY utilizaba para sus operaciones fiscales. El incidente nos recuerda que incluso las firmas financieras y contables más consolidadas dependen de proveedores externos para sus operaciones diarias, y esos proveedores pueden convertirse en el eslabón más débil de una cadena de seguridad que, por lo demás, es sólida.

Si usted es cliente de EY, empleado o simplemente alguien que quiere saber cómo proteger sus registros fiscales después de una filtración como esta, aquí le contamos qué ocurrió, quiénes podrían estar afectados y qué medidas concretas debe tomar ahora mismo.

Lo que expuso la filtración de EY y quiénes están en riesgo

Según la información revelada, la filtración no se originó en los sistemas centrales de EY. En cambio, los atacantes comprometieron una plataforma externa de gestión de servicios de TI, el tipo de herramienta que las firmas usan para registrar tickets de soporte, hacer seguimiento de solicitudes técnicas y gestionar flujos de trabajo internos. Dado que esta plataforma estaba vinculada a las funciones de soporte fiscal, al parecer contenía documentación fiscal confidencial enviada por los clientes como parte de solicitudes de servicio rutinarias.

Esto es relevante porque las plataformas de soporte de TI suelen considerarse herramientas internas de bajo riesgo, incluso cuando terminan almacenando archivos adjuntos altamente sensibles, como declaraciones de impuestos, estados financieros o datos de identificación personal. Nuestra cobertura anterior del incidente, Filtración de datos de EY expone archivos fiscales de clientes mediante un ataque al soporte de TI, detalla cómo el sistema de tickets comprometido se convirtió en un repositorio inesperado del tipo de datos que más buscan los atacantes: números de Seguro Social, detalles de ingresos e historial de declaraciones.

Cualquier persona que haya enviado documentos fiscales a través de los canales de soporte de EY durante el período afectado debe asumir que su información pudo haber quedado expuesta hasta que EY o el proveedor confirmen lo contrario.

Pasos inmediatos para clientes de EY: monitoreo y alertas de fraude

Si recibió una notificación de EY o cree que podría estar afectado, no espere una respuesta definitiva para actuar. Las filtraciones de datos fiscales son especialmente peligrosas porque abren la puerta a un robo de identidad que puede desarrollarse a lo largo de meses, no de días.

Comience con estos pasos:

  • Solicite un PIN de Protección de Identidad del IRS. Este número de seis dígitos impide que alguien más presente una declaración de impuestos usando su número de Seguro Social, incluso si tiene sus datos personales.
  • Active alertas de fraude o congele su crédito. Comuníquese con las principales agencias de crédito para colocar una alerta de fraude o congelar su archivo crediticio. Esto dificulta que los delincuentes abran nuevas cuentas a su nombre.
  • Esté atento a los avisos del IRS sobre declaraciones duplicadas. Si el IRS marca una declaración presentada a su nombre que usted no envió, esa es una señal de alerta temprana de robo de identidad relacionado con impuestos.
  • Revise con cuidado cualquier comunicación de EY. Las notificaciones legítimas de filtración no le pedirán que haga clic en un enlace e ingrese su número de Seguro Social o datos bancarios. Los estafadores suelen usar las noticias de filtraciones como excusa para intentos de phishing.

Actuar con rapidez reduce la ventana de oportunidad que tienen los atacantes para explotar los datos fiscales robados antes de que usted o el IRS se den cuenta.

Cómo proteger sus documentos fiscales y datos financieros en el futuro

Más allá de la respuesta inmediata, esta filtración es un buen motivo para replantearse cómo almacena y comparte documentos fiscales en general, sea o no cliente de EY.

Evite enviar por correo electrónico declaraciones de impuestos, formularios W-2 o números de Seguro Social como archivos adjuntos sin protección. Si una firma o plataforma le pide que cargue documentos confidenciales a través de un ticket de soporte o portal web, pregunte cómo se almacenan esos datos y por cuánto tiempo. Elimine las copias antiguas de documentos fiscales de las unidades de almacenamiento en la nube o de las bandejas de entrada de correo electrónico una vez que ya no las necesite y conserve un único archivo bien protegido en lugar de copias dispersas en múltiples servicios.

También vale la pena preguntar directamente a su contador o preparador de impuestos qué herramientas de terceros utilizan y si esos proveedores han sido auditados en materia de seguridad. El incidente de EY demuestra que el riesgo no se limita a la firma que contrató, sino que abarca cada plataforma en la cadena de suministro de esa firma.

¿Pueden ayudar realmente una VPN o el almacenamiento cifrado en este caso?

Una VPN no deshará una filtración que ya ocurrió en el servidor de un proveedor, pero contribuye a reducir su exposición en el futuro. Usar una VPN cifra su tráfico de internet, lo que ayuda a evitar que los atacantes intercepten documentos confidenciales mientras los carga en un portal de impuestos, especialmente en redes wifi públicas o compartidas.

El almacenamiento cifrado en la nube añade otra capa de protección al garantizar que, incluso si un proveedor de almacenamiento se ve comprometido, sus archivos permanezcan ilegibles sin su clave de descifrado. Para documentos fiscales confidenciales en concreto, busque servicios de almacenamiento que ofrezcan cifrado de extremo a extremo en lugar de depender únicamente del cifrado del lado del servidor del proveedor, al cual el propio proveedor suele tener acceso.

Ninguna de estas herramientas reemplaza los buenos hábitos, como usar un PIN de Protección de Identidad del IRS o monitorear su informe crediticio, pero en conjunto reducen las vías por las que sus datos fiscales pueden filtrarse en primer lugar.

Qué significa esto para usted

La filtración de EY subraya una verdad más amplia: la seguridad de sus datos fiscales no solo depende de la firma en la que confía, sino de cada proveedor y plataforma que esa firma utiliza entre bastidores. Tanto si está directamente afectado por este incidente como si no, es un buen momento para revisar su propia exposición, reforzar la forma en que comparte documentos financieros y establecer un monitoreo que detecte el robo de identidad a tiempo, en lugar de después de que se haya producido el daño.

Conclusiones prácticas

  • Si es cliente de EY, solicite un PIN de Protección de Identidad del IRS y active una alerta de fraude o congelación de crédito ahora mismo.
  • Esté atento a los avisos del IRS sobre declaraciones duplicadas presentadas a su nombre.
  • Deje de enviar por correo electrónico documentos fiscales sin protección; use en su lugar almacenamiento cifrado o portales seguros.
  • Pregunte a cualquier firma que maneje sus datos fiscales qué herramientas de terceros utiliza y cómo protege esos datos.
  • Use una VPN al cargar documentos financieros confidenciales en redes públicas o compartidas.

Para conocer todos los detalles técnicos de cómo ocurrió la filtración, vale la pena leer el informe original completo sobre la exposición de datos fiscales de EY, que ofrece un contexto útil para cualquiera que esté evaluando la gravedad de su propia exposición.