EY-tietomurto on hyödyllinen tapaustutkimus siitä, miten riski kulkee toimittajien kautta. Hyökkääjät viettivät väitetysti 15 päivää kolmannen osapuolen IT-tukialustalla, ja asianomaiset asiakkaat odottivat noin 81 päivää ennen kuin heille kerrottiin asiasta. Verotiedot vaarantuivat. Vaikka tilintarkastajasi ei olisi koskaan koskenutkaan asianomaiseen järjestelmään, tapaus osoittaa, miksi kannattaa kysyä, kuka muu käsittelee tietojasi.

Mitä tiedämme EY-tietomurron aikajanasta

EY vahvisti, että hakkerit pääsivät käsiksi kolmannen osapuolen IT-tukialustaan 15 päivän ajan ja altistivat asiakkaiden verotietoja. Julkisen raportoinnin ja yrityksen ilmoituskirjeiden perusteella tapahtumien kulku näyttää tältä:

  • Hyökkääjän pääsyikkuna kesti 15 päivää ja sulkeutui sen jälkeen.
  • EY havaitsi poikkeavan toiminnan 23. huhtikuuta 2026, väitetysti yksitoista päivää sen jälkeen, kun pääsyikkuna oli sulkeutunut.
  • Tietomurtoilmoitukset jätettiin heinäkuun 2026 puolivälissä. Vermontin osavaltion oikeusministeriölle jätetty ilmoitus on päivätty 16. heinäkuuta 2026.

Otsikkoluku 81 päivää tulee uutisoinnissa mainitusta aikajanasta. Jotkin mediat pyöristävät välin hieman eri tavalla (yksi ilmoittaa sen olevan noin 83 päivää) riippuen siitä, mistä päivämääristä ne laskevat. Tarkka luku on vähemmän tärkeä kuin kaava: pitkä ajanjakso havaitsemisen ja ilmoituksen välillä.

Aiemmassa uutisoinnissamme siitä, miten asiakkaiden verotiedostot vaarantuivat IT-tuen hakkerointitapauksessa, kuvataan tukipyyntöalustaa, joka on tapauksen keskiössä.

Miksi kolmannen osapuolen IT-tukialusta on merkityksellinen

Tukipyyntöjärjestelmät keräävät paljon tietoa. Henkilökunta liittää mukaan näyttökuvia, tiedostoja ja virhelokeja, jotta ongelma voidaan diagnosoida nopeasti. Tämä mukavuus tarkoittaa, että arkaluonteinen materiaali voi päätyä järjestelmään, jota ei koskaan suunniteltu turvalliseksi asiakirjasäilöksi.

Tämä on keskeinen toimittajiin liittyvä oppi. Yritys voi ylläpitää vahvoja kontrolleja pääjärjestelmissään ja olla silti vaarassa työkalun kautta, jota se käyttää rutiinitoiminnoissa. Asiakkaiden kannalta heikko kohta on usein näkymätön: luotat neuvonantajaasi, mutta harvoin tiedät, mitkä alustat ovat hänen taustallaan.

Uhrien piiri on myös laajentunut. Myöhemmissä paljastuksissa nimettiin Goldman Sachs ja Man Group asianomaisten organisaatioiden joukkoon, mikä osoittaa, miten yksi toimittajapuolen tietomurto voi tavoittaa monta erillistä organisaatiota kerralla.

Ilmoitusviive: miksi sillä on merkitystä

Pitkä viive havaitsemisen ja ilmoituksen välillä ei ole vain menettelytavakysymys. Tutkimukset vievät aikaa, ja yritysten on selvitettävä, kenen tiedoista oli kyse. Mutta jokainen päivä ilman ilmoitusta on päivä, jolloin asianomaiset ihmiset eivät voi jäädyttää luottoaan, seurata petollisia ilmoituksia tai vaihtaa salasanoja.

Verotiedot nostavat panokset. Raportit osoittavat, että vaarantuneisiin tietoihin saattaa sisältyä sosiaaliturvatunnuksia. Sellaiset tiedot mahdollistavat rikollisten yritykset veronpalautuspetoksiin, tilien avaamiseen tai vakuuttavien tietojenkalasteluviestien rakentamiseen. Suurimmassa vaarassa ovat ne, jotka eivät vielä tiedä joutuneensa kohteeksi.

Ilmoitetuille henkilöille tarjotaan henkilöllisyyden seurantaa. Raporttien mukaan ilmoittautumisikkuna on avoinna 31. lokakuuta 2026 asti, joten kannattaa toimia ennen sitä, jos saat kirjeen.

Mitä tämä tarkoittaa sinulle

Sinun ei tarvitse olla EY:n asiakas hyötyäksesi tästä. Monet jakavat verotietoja tilintarkastajien, palkanlaskijoiden ja talousneuvojien kanssa, ja mikä tahansa heistä voi olla riippuvainen kolmannen osapuolen alustoista.

Jos sait ilmoituskirjeen, suhtaudu siihen vakavasti ja vastaa viipymättä. Ilmoituskirjeet ovat laillinen tapa, jolla asianomaisiin ihmisiin otetaan yhteyttä, mutta huijarit jäljittelevät niitä usein tietomurron jälkeen, joten käytä virallisessa kirjeessä painettuja yhteystietoja odottamattomien sähköpostien linkkien sijaan.

Jos et saanut kirjettä, sinulla on silti syytä tarkastella altistumistasi. Kysy tilintarkastajaltasi tai neuvonantajaltasi, käyttävätkö he ulkopuolista IT-tukea tai tikettialustoja ja voivatko nämä työkalut sisältää asiakastiedostoja. Kysy myös, mikä on heidän sitoumuksensa ilmoittaa sinulle tapahtuman jälkeen. Epämääräiset vastaukset ovat itsessään informaatiota.

Vaiheittaisia ohjeita varten katso oppaamme miten suojata tietosi EY:n verotietojen tietomurron jälkeen.

Käytännön toimenpiteet

  • Pyydä henkilöllisyyden suojaus-PIN tai vastaava. Monet veroviranomaiset tarjoavat lisäsuojan, joka estää toista henkilöä ilmoittamasta nimissäsi. Tarkista, mitä kansallinen tai osavaltion viranomainen tarjoaa.
  • Jäädytä luottotietosi. Jäädytys on ilmainen monissa maissa ja estää uusien tilien avaamisen varastetuilla tiedoilla.
  • Seuraa veroihin liittyvää toimintaa. Varo odottamattomia verotustodistuksia, hylättyjä sähköisiä ilmoituksia tai veroviranomaisten kirjeitä ilmoituksista, joita et tehnyt.
  • Käytä seurantatarjousta. Jos sinulle ilmoitettiin, ilmoittaudu ennen 31. lokakuuta 2026 määräaikaa.
  • Kysy toimittajista ja aikatauluista. Pyydä tilintarkastajaasi tai neuvonantajaasi paljastamaan, mitkä kolmannet osapuolet käsittelevät tietojasi ja kuinka nopeasti he sitoutuvat ilmoittamaan sinulle.
  • Rajoita lähettämiäsi tietoja. Jaa vain ne asiakirjat, joita tehtävä edellyttää, ja käytä turvallisia portaaleja sähköpostiliitteiden sijaan.
  • Varo tietojenkalastelua. Tietomurtouutiset ruokkivat henkilöksi tekeytymisyrityksiä, joten varmista kaikki veroihisi liittyvät viestit virallisten kanavien kautta.

Yhteenveto

EY-tietomurto osoittaa, että tietosi ovat yhtä turvassa kuin ketjun heikoin työkalu, ja että hidas ilmoitus jättää ihmiset alttiiksi pidempään kuin itse tunkeutuminen. Et voi hallita toimittajan turvallisuutta, mutta voit hallita sitä, kuinka nopeasti reagoit: lukitse luottotietosi ja verotunnuksesi, esitä vaikeita kysymyksiä ammattilaisille, joilla on tietosi hallussaan, ja toimi saamiesi ilmoitusten mukaisesti ennen määräaikojen umpeutumista.