Une fuite de données chez EY expose les dossiers fiscaux de ses clients à la suite du piratage de son support informatique

La fuite de données d’EY touche une plateforme de support informatique tierce

Ernst & Young LLP, l’un des plus grands cabinets de services professionnels au monde, informe ses clients d’une fuite de données ayant compromis une plateforme de tickets de support utilisée par son service informatique. Selon la divulgation de l’entreprise, un tiers non autorisé a accédé au système et a téléchargé des documents contenant des données fiscales de clients sur une période d’environ deux semaines ce printemps. La fuite de données d’EY nous rappelle que même les entreprises les plus grandes et les mieux dotées en ressources peuvent être exposées par les outils que leurs équipes de support internes utilisent au quotidien.

Les systèmes de tickets de support sont souvent considérés comme une infrastructure de faible priorité par rapport aux plateformes destinées aux clients ou aux systèmes financiers. Pourtant, ces outils contiennent fréquemment des pièces jointes, de la correspondance et des fichiers que les employés téléversent lors de la résolution de problèmes techniques, y compris des documents fiscaux sensibles partagés dans le cadre de demandes courantes d’assistance informatique. Cela en fait une cible attrayante mais souvent négligée.

Comment un système de support est devenu un point faible

EY n’a pas publié de détail technique sur la manière dont l’attaquant a pénétré le système, mais l’incident correspond à un schéma que les chercheurs en sécurité ont signalé à plusieurs reprises ces derniers mois : les systèmes tiers et adjacents au support sont de plus en plus utilisés comme point d’entrée dans des organisations par ailleurs bien défendues. Les attaquants savent que la porte d’entrée d’une entreprise – son réseau principal, ses systèmes de messagerie et ses portails clients – bénéficie généralement des plus gros investissements en sécurité. Les outils internes utilisés par le personnel informatique font parfois l’objet d’un examen moins approfondi, alors même qu’ils peuvent contenir une quantité surprenante de données sensibles.

Cette dynamique n’est pas propre à EY. D’autres incidents récents, notamment la campagne de logiciels malveillants via des installateurs MSI ciblant les traders de crypto-monnaies, montrent comment les attaquants continuent d’exploiter des logiciels de confiance et des canaux de support plutôt que de tenter un assaut frontal contre des systèmes renforcés. Dans ce cas-là, des identifiants codés en dur dans les fichiers d’installation ont offert aux attaquants un point d’ancrage discret. Dans le cas d’EY, le point d’entrée était une plateforme de tickets de support, mais la leçon sous-jacente est la même : tout système qui manipule des fichiers, des identifiants ou des données clients mérite le même niveau de protection que les systèmes métier essentiels.

Conséquences sur la vie privée pour les clients d’EY

Le détail le plus préoccupant dans la notification d’EY est la nature des données concernées. Les documents fiscaux contiennent généralement des numéros de sécurité sociale, des détails sur les revenus, des informations de comptes financiers et d’autres identifiants précieux pour l’usurpation d’identité et la fraude fiscale. Une fenêtre d’accès d’environ deux semaines donne à un attaquant un temps significatif pour identifier, sélectionner et exfiltrer des fichiers spécifiques plutôt que de saisir des données au hasard, ce qui suggère que l’intrusion a pu être délibérée plutôt qu’opportuniste.

Pour les clients concernés, les enjeux de confidentialité vont au-delà de l’exposition immédiate. Les données fiscales ont une longue durée de vie. Contrairement à un mot de passe, qui peut être changé instantanément, un numéro de sécurité sociale ou une déclaration fiscale historique ne peuvent pas être simplement réinitialisés. Cela signifie que les conséquences de ce type de brèche peuvent apparaître des mois, voire des années plus tard, sous la forme de déclarations fiscales frauduleuses, de demandes de crédit non autorisées ou de tentatives de phishing ciblées faisant référence à des détails de compte réels pour paraître légitimes.

Ce que cela signifie pour vous

Si vous êtes client d’EY, ou de tout autre cabinet ayant traité vos déclarations fiscales via une plateforme tierce, cet incident est l’occasion de réévaluer votre propre exposition. Demandez directement à votre prestataire si vos données faisaient partie des fichiers consultés, exigez une confirmation écrite et renseignez-vous sur les services de surveillance ou de protection, comme la surveillance du crédit, qui sont proposés en conséquence.

Plus largement, cette fuite souligne pourquoi il est judicieux d’être prudent quant à la quantité de documents sensibles téléversés sur les portails de support, même lorsque la demande semble routinière. Les tickets de support informatique ne sont pas toujours conçus avec la même rigueur de sécurité que les systèmes dédiés à la gestion documentaire, et les clients ont rarement une visibilité sur la durée de conservation des fichiers téléversés ou sur les personnes qui peuvent y accéder en interne.

Mesures à prendre

Si vous pensez que vos données fiscales ont pu être affectées par la fuite de données d’EY, ou par un incident similaire impliquant un cabinet de services professionnels, envisagez les mesures suivantes :

• Contactez directement l’entreprise pour confirmer si vos dossiers spécifiques faisaient partie des fichiers compromis, et demandez des précisions sur l’étendue de la fenêtre de deux semaines.
• Mettez en place une alerte de fraude ou un gel de crédit auprès des principales agences d’évaluation du crédit si des identifiants fiscaux ou financiers sont concernés.
• Surveillez attentivement vos déclarations fiscales pour détecter tout signe d’activité frauduleuse, en particulier autour de la période de déclaration.
• Évitez de téléverser des documents financiers sensibles sur les portails de support, sauf en cas de nécessité absolue, et renseignez-vous sur les pratiques de conservation des données des prestataires.
• Utilisez des mots de passe forts et uniques ainsi que l’authentification multifacteur sur tout portail client lié à l’entreprise concernée.
• Lorsque vous accédez à distance à des plateformes financières sensibles, l’ajout d’une couche de chiffrement via un VPN correctement configuré, comme les étapes décrites dans ce guide de configuration de NordVPN, peut réduire l’exposition sur les réseaux non sécurisés.

La fuite de données d’EY met en évidence une vérité plus large sur la protection des données moderne : la sécurité n’est jamais plus forte que son système le moins surveillé. Alors que les enquêtes se poursuivent, les clients concernés doivent rester attentifs aux communications officielles et traiter avec prudence tout courriel inattendu faisant référence à cet incident, car des brèches de ce type déclenchent souvent une vague de tentatives de phishing par la suite.