La violation de données d'EY est une étude de cas utile sur la manière dont le risque circule à travers les fournisseurs. Les attaquants auraient passé 15 jours à l'intérieur d'une plateforme de support informatique tierce, et les clients concernés ont attendu environ 81 jours pour en être informés. Des données fiscales ont été exposées. Même si votre comptable n'a jamais touché au système concerné, l'incident montre pourquoi il vaut la peine de demander qui d'autre traite vos dossiers.

Ce que nous savons du déroulement de la violation de données d'EY

EY a confirmé que des pirates ont accédé à une plateforme de support informatique tierce pendant 15 jours, exposant des informations fiscales de clients. D'après les informations publiques et les lettres de notification de l'entreprise, la séquence se présente comme suit :

  • La fenêtre d'accès de l'attaquant a duré 15 jours, puis s'est refermée.
  • EY a identifié une activité anormale le 23 avril 2026, soit selon les informations disponibles onze jours après la fin de cette fenêtre d'accès.
  • Les notifications de violation ont été déposées à la mi-juillet 2026. Un rapport déposé auprès du bureau du procureur général du Vermont est daté du 16 juillet 2026.

Le chiffre phare de 81 jours provient de la chronologie citée dans les articles. Certains médias arrondissent légèrement différemment cet écart (l'un le situe à environ 83 jours), selon les dates à partir desquelles ils comptent. Le nombre exact importe moins que le schéma : une longue période entre la détection et la notification.

Notre couverture précédente de comment les dossiers fiscaux de clients ont été exposés via un piratage du support informatique décrit la plateforme de tickets de support au centre de l'incident.

Pourquoi une plateforme de support informatique tierce compte

Les systèmes de tickets de support collectent beaucoup d'informations. Le personnel y joint des captures d'écran, des fichiers et des journaux d'erreurs pour qu'un problème puisse être diagnostiqué rapidement. Cette commodité signifie que des documents sensibles peuvent se retrouver dans un système qui n'a jamais été conçu comme un coffre-fort documentaire sécurisé.

C'est la leçon essentielle en matière de fournisseurs. Une entreprise peut appliquer des contrôles solides sur ses systèmes principaux et rester néanmoins exposée via un outil qu'elle utilise pour ses opérations courantes. Pour les clients, le point faible est souvent invisible : vous faites confiance à votre conseiller, mais vous savez rarement quelles plateformes se trouvent derrière lui.

Le cercle des victimes s'est également élargi. Des divulgations ultérieures ont nommé Goldman Sachs et Man Group parmi les organisations touchées, ce qui montre comment une seule compromission côté fournisseur peut atteindre de nombreuses organisations distinctes à la fois.

L'écart de notification : pourquoi il compte

Un long délai entre la détection et la notification n'est pas qu'une question de procédure. Les enquêtes prennent du temps, et les entreprises doivent déterminer quelles données ont été impliquées. Mais chaque jour sans notification est un jour où les personnes concernées ne peuvent pas geler leur crédit, surveiller les déclarations frauduleuses ou changer leurs mots de passe.

Les données fiscales augmentent les enjeux. Les rapports indiquent que l'exposition pourrait inclure des numéros de sécurité sociale. Ce type d'informations permet aux criminels de tenter une fraude au remboursement d'impôt, d'ouvrir des comptes ou de construire des messages d'hameçonnage convaincants. Les personnes les plus à risque sont celles qui ne savent pas encore qu'elles sont concernées.

Les personnes notifiées se voient proposer une surveillance d'identité. Selon les informations rapportées, la fenêtre d'inscription court jusqu'au 31 octobre 2026, il vaut donc la peine d'agir avant cette date si vous recevez une lettre.

Ce que cela signifie pour vous

Vous n'avez pas besoin d'être client d'EY pour en tirer quelque chose. Beaucoup de gens partagent des documents fiscaux avec des comptables, des prestataires de paie et des conseillers financiers, et chacun d'eux peut dépendre de plateformes tierces.

Si vous avez reçu une lettre de notification, considérez-la comme réelle et répondez rapidement. Les lettres de notification sont le moyen légitime par lequel les personnes concernées sont contactées, mais les escrocs les imitent souvent après une violation, utilisez donc les coordonnées imprimées sur la lettre officielle plutôt que les liens contenus dans des courriels inattendus.

Si vous n'avez pas reçu de lettre, vous avez tout de même des raisons d'examiner votre exposition. Demandez à votre comptable ou conseiller s'il utilise un support informatique externe ou des plateformes de tickets, et si ces outils peuvent contenir des fichiers clients. Demandez également quel est son engagement pour vous notifier après un incident. Des réponses vagues sont en elles-mêmes une information.

Pour un guide étape par étape, consultez notre article sur comment protéger vos dossiers après la violation de données fiscales d'EY.

Points clés à retenir

  • Demandez un PIN de protection d'identité ou un équivalent. De nombreuses administrations fiscales offrent une couche supplémentaire qui empêche quelqu'un d'autre de déclarer en votre nom. Renseignez-vous sur ce que propose votre administration nationale ou locale.
  • Gelez votre crédit. Le gel est gratuit dans de nombreux pays et empêche l'ouverture de nouveaux comptes avec des données volées.
  • Surveillez toute activité liée aux impôts. Soyez attentif aux relevés fiscaux inattendus, aux déclarations électroniques rejetées ou aux lettres des autorités fiscales concernant des déclarations que vous n'avez pas déposées.
  • Utilisez l'offre de surveillance. Si vous avez été notifié, inscrivez-vous avant la date limite du 31 octobre 2026.
  • Renseignez-vous sur les fournisseurs et les délais. Demandez à votre comptable ou conseiller de divulguer quels tiers touchent à vos données et dans quel délai il s'engage à vous notifier.
  • Limitez ce que vous envoyez. Ne partagez que les documents nécessaires à une tâche et utilisez des portails sécurisés plutôt que des pièces jointes par courriel.
  • Attention à l'hameçonnage. L'actualité des violations alimente les tentatives d'usurpation d'identité, vérifiez donc tout message concernant vos impôts via des canaux officiels.

En résumé

La violation de données d'EY montre que vos données ne sont aussi sûres que l'outil le plus faible de la chaîne, et qu'une notification tardive laisse les personnes exposées plus longtemps que l'intrusion elle-même. Vous ne pouvez pas contrôler la sécurité d'un fournisseur, mais vous pouvez contrôler la rapidité de votre réaction : verrouillez votre crédit et votre identité fiscale, posez des questions difficiles aux professionnels qui détiennent vos dossiers, et agissez sur toute notification reçue avant que les délais n'expirent.