Ernst & Young, l’un des plus grands cabinets de services professionnels au monde, a révélé une fuite de données impliquant des dossiers fiscaux sensibles de clients. Selon les informations de Cybernews, des attaquants ont accédé à une plateforme de gestion des services informatiques tierce qu’EY utilisait pour assurer ses opérations fiscales. Cet incident nous rappelle que même les cabinets financiers et comptables les plus établis dépendent de fournisseurs externes pour leurs activités quotidiennes, et ces fournisseurs peuvent devenir le maillon faible d’une chaîne de sécurité par ailleurs solide.

Que vous soyez client d’EY, employé ou simplement une personne souhaitant savoir comment protéger ses dossiers fiscaux après une telle fuite, voici ce qui s’est passé, qui est probablement concerné et les mesures concrètes que vous devez prendre dès maintenant.

Ce que la fuite EY a exposé et qui est à risque

D’après la notification, la fuite ne provient pas des systèmes centraux d’EY. Les attaquants ont plutôt compromis une plateforme de gestion des services informatiques tierce, un outil utilisé pour enregistrer les tickets d’assistance, suivre les demandes techniques et gérer les flux de travail internes. Cette plateforme étant liée aux fonctions de support fiscal, elle semble avoir contenu des documents fiscaux sensibles soumis par les clients dans le cadre de demandes de service courantes.

C’est important, car ces plates-formes de support informatique sont souvent considérées comme des outils internes à faible risque, même lorsqu’elles finissent par stocker des pièces jointes très sensibles, comme des déclarations de revenus, des relevés financiers ou des pièces d’identité. Notre précédente couverture de l’incident, La fuite de données EY expose les fichiers fiscaux de clients via le piratage du support informatique, détaille comment le système de tickets compromis est devenu un dépôt imprévu pour le type même de données que les attaquants recherchent le plus : numéros de sécurité sociale, détails des revenus et historique des déclarations.

Toute personne ayant transmis des documents fiscaux via les canaux d’assistance d’EY pendant la période concernée doit supposer que ses informations ont pu être exposées, jusqu’à confirmation contraire par EY ou le fournisseur.

Mesures immédiates pour les clients EY : surveillance et alertes à la fraude

Si vous avez reçu une notification d’EY ou pensez être concerné, n’attendez pas une réponse définitive pour agir. Les fuites de données fiscales sont particulièrement dangereuses car elles ouvrent la porte à des usurpations d’identité qui peuvent se dérouler sur des mois, et non des jours.

Commencez par ces étapes :

  • Demandez un code PIN de protection d’identité à l’IRS. Ce numéro à six chiffres empêche quiconque de produire une déclaration de revenus en utilisant votre numéro de sécurité sociale, même s’il dispose de vos informations personnelles.
  • Mettez en place des alertes à la fraude ou un gel de crédit. Contactez les principaux bureaux de crédit pour placer une alerte à la fraude ou geler votre dossier de crédit. Cela complique l’ouverture de nouveaux comptes à votre nom par des criminels.
  • Surveillez les avis de l’IRS concernant les déclarations en double. Si l’IRS signale une déclaration déposée sous votre nom que vous n’avez pas soumise, c’est un signe avant-coureur d’une usurpation d’identité liée à l’impôt.
  • Examinez attentivement toute communication d’EY. Les notifications légitimes de fuite de données ne vous demanderont jamais de cliquer sur un lien et de saisir votre numéro de sécurité sociale ou vos coordonnées bancaires. Les escrocs se servent souvent des fuites comme couverture pour des tentatives d’hameçonnage.

Agir rapidement réduit la fenêtre dont disposent les attaquants pour exploiter les données fiscales volées avant que vous ou l’IRS ne vous en rendiez compte.

Sécuriser les documents fiscaux et les données financières pour l’avenir

Au-delà de la réponse immédiate, cette fuite est une bonne occasion de repenser la manière dont vous stockez et partagez vos documents fiscaux en général, que vous soyez client d’EY ou non.

Évitez d’envoyer par courriel les déclarations de revenus, les W-2 ou les numéros de sécurité sociale sous forme de pièces jointes non protégées. Si un cabinet ou une plate-forme vous demande de télécharger des documents sensibles via un ticket d’assistance ou un portail web, demandez comment ces données sont stockées et pour quelle durée. Supprimez les anciennes copies des documents fiscaux des disques cloud ou des boîtes de messagerie une fois qu’elles ne sont plus nécessaires, et conservez une archive unique et bien protégée plutôt que des copies éparpillées sur plusieurs services.

Il vaut également la peine de demander directement à votre expert-comptable ou préparateur fiscal quels sont les outils tiers sur lesquels il s’appuie, et si ces fournisseurs ont fait l’objet d’un audit de sécurité. L’incident EY montre que le risque ne porte pas seulement sur le cabinet que vous avez engagé, mais sur chaque plate-forme dans la chaîne d’approvisionnement de ce cabinet.

Un VPN ou un stockage chiffré peuvent-ils vraiment aider ici ?

Un VPN ne réparera pas une fuite déjà survenue sur le serveur d’un fournisseur, mais il contribue à réduire votre exposition future. Utiliser un VPN chiffre votre trafic internet, ce qui empêche les attaquants d’intercepter des documents sensibles lors de leur téléversement vers un portail fiscal, en particulier sur les réseaux Wi-Fi publics ou partagés.

Le stockage cloud chiffré ajoute une couche de protection supplémentaire en garantissant que, même si le fournisseur de stockage est compromis, vos fichiers restent illisibles sans votre clé de déchiffrement. Pour les documents fiscaux sensibles en particulier, privilégiez des services de stockage offrant un chiffrement de bout en bout plutôt que de compter uniquement sur le chiffrement côté serveur du prestataire, auquel celui-ci peut généralement accéder.

Aucun de ces outils ne remplace les bonnes pratiques telles que l’utilisation d’un code PIN de protection d’identité de l’IRS ou la surveillance de votre dossier de crédit, mais ensemble, ils réduisent le nombre de voies par lesquelles vos données fiscales peuvent fuiter.

Ce que cela signifie pour vous

La fuite EY souligne une vérité plus large : la sécurité de vos données fiscales ne dépend pas seulement du cabinet auquel vous faites confiance, mais également de chaque fournisseur et plate-forme que ce cabinet utilise en coulisses. Que vous soyez directement concerné par cet incident ou non, c’est un signal utile pour vérifier votre propre exposition, resserrer la manière dont vous partagez les documents financiers et mettre en place une surveillance qui repère l’usurpation d’identité en amont plutôt qu’une fois les dégâts accomplis.

Points à retenir et actions à entreprendre

  • Si vous êtes client d’EY, demandez un code PIN de protection d’identité à l’IRS et mettez en place une alerte à la fraude ou un gel de crédit dès maintenant.
  • Surveillez les avis de l’IRS concernant des déclarations en double déposées à votre nom.
  • Cessez d’envoyer par courriel des documents fiscaux non protégés ; privilégiez des solutions de stockage ou des portails chiffrés.
  • Demandez à tout cabinet gérant vos données fiscales quels sont les outils tiers sur lesquels il s’appuie et comment ces données sont protégées.
  • Utilisez un VPN lorsque vous téléversez des documents financiers sensibles sur des réseaux publics ou partagés.

Pour tous les détails techniques sur la manière dont la fuite s’est produite, le rapport d’incident original sur l’exposition des données fiscales d’EY vaut la peine d’être lu en intégralité ; il offre un contexte utile à quiconque doit décider du degré de sérieux à accorder à sa propre exposition.