EY-ov slučaj kršenja podataka koristan je primjer kako rizik putuje kroz dobavljače. Napadači su navodno proveli 15 dana unutar platforme za IT podršku treće strane, a pogođeni klijenti čekali su otprilike 81 dan da o tome saznaju. Porezni podaci bili su izloženi. Čak i ako vaš računovođa nikada nije dotaknuo pogođeni sustav, incident pokazuje zašto se isplati pitati ko još rukuje vašim evidencijama.

Što znamo o vremenskom slijedu EY-ovog kršenja podataka

EY je potvrdio da su hakeri pristupali platformi za IT podršku treće strane 15 dana, izlažući porezne podatke klijenata. Na temelju javnih izvješća i pisama s obavijestima tvrtke, slijed izgleda ovako:

  • Napadačev prozor pristupa trajao je 15 dana, a zatim se zatvorio.
  • EY je identificirao neuobičajenu aktivnost 23. travnja 2026., navodno jedanaest dana nakon što je taj prozor pristupa završio.
  • Obavijesti o kršenju podataka podnesene su sredinom srpnja 2026. Izvješće podneseno Uredu državnog odvjetnika Vermonta datirano je 16. srpnja 2026.

Vodeća brojka od 81 dana dolazi iz vremenskog slijeda navedenog u izvještavanju. Neki mediji zaokružuju razmak nešto drugačije (jedan ga stavlja na otprilike 83 dana), ovisno o tome od kojih datuma računaju. Točan broj manje je važan od obrasca: dugo razdoblje između otkrivanja i obavijesti.

Naše ranije izvještavanje o tome kako su porezne datoteke klijenata izložene putem hakerskog napada na IT podršku opisuje platformu za korisničke zahtjeve u središtu incidenta.

Zašto je platforma za IT podršku treće strane važna

Sustavi za korisničke zahtjeve prikupljaju mnogo informacija. Osoblje prilaže snimke zaslona, datoteke i zapisnike pogrešaka kako bi se problem mogao brzo dijagnosticirati. Ta praktičnost znači da osjetljivi materijali mogu završiti u sustavu koji nikada nije bio zamišljen kao siguran trezor dokumenata.

To je ključna lekcija o dobavljačima. Tvrtka može provoditi snažne kontrole na svojim glavnim sustavima, a ipak biti izložena putem alata koji koristi za rutinske operacije. Za klijente je slaba točka često nevidljiva: vjerujete svom savjetniku, ali rijetko znate koje platforme stoje iza njega.

Krug žrtava također se proširio. Kasnija otkrića navela su Goldman Sachs i Man Group među pogođenim organizacijama, što pokazuje kako jedan kompromis na strani dobavljača može dosegnuti mnoge odvojene organizacije odjednom.

Razmak u obavještavanju: zašto je važan

Dugo kašnjenje između otkrivanja i obavijesti nije samo proceduralno pitanje. Istrage zahtijevaju vrijeme, a tvrtke moraju utvrditi čiji su podaci bili uključeni. Ali svaki dan bez obavijesti dan je u kojem pogođeni ljudi ne mogu zamrznuti kredit, pratiti lažne prijave ili promijeniti lozinke.

Porezni podaci povećavaju ulog. Izvješća pokazuju da izloženost može uključivati brojeve socijalnog osiguranja. Takve informacije omogućuju kriminalcima pokušaj prijevare s povratom poreza, otvaranje računa ili sastavljanje uvjerljivih phishing poruka. Najviše su ugroženi oni koji još ne znaju da su pogođeni.

Obaviještenim pojedincima nudi se praćenje identiteta. Prema izvješćima, rok za prijavu traje do 31. listopada 2026., pa se isplati djelovati prije toga ako primite pismo.

Što to znači za vas

Ne morate biti EY-ov klijent da biste iz ovoga nešto naučili. Mnogi ljudi dijele porezne dokumente s računovođama, pružateljima usluga obračuna plaća i financijskim savjetnicima, a svatko od njih može ovisiti o platformama trećih strana.

Ako ste primili pismo s obavijesti, tretirajte ga kao stvarno i odgovorite promptno. Pisma s obavijestima legitimni su način na koji se kontaktiraju pogođeni ljudi, ali prevaranti ih često oponašaju nakon kršenja podataka, pa koristite podatke za kontakt otisnute na službenom pismu, a ne poveznice u neočekivanim e-porukama.

Ako niste primili pismo, još uvijek imate razloga preispitati svoju izloženost. Pitajte svog računovođu ili savjetnika koristi li vanjsku IT podršku ili platforme za korisničke zahtjeve te mogu li ti alati sadržavati datoteke klijenata. Također pitajte kakva je njihova obveza da vas obavijeste nakon incidenta. Nejasni odgovori sami su po sebi informacija.

Za korak-po-korak upute pogledajte naš vodič o tome kako zaštititi svoje evidencije nakon EY-ovog kršenja poreznih podataka.

Ključni zaključci za djelovanje

  • Zatražite PIN za zaštitu identiteta ili ekvivalent. Mnoge porezne agencije nude dodatni sloj koji nekome drugome onemogućuje prijavu u vaše ime. Provjerite što nudi vaša nacionalna ili državna agencija.
  • Zamrznite svoj kredit. Zamrzavanje je besplatno u mnogim zemljama i zaustavlja otvaranje novih računa s ukradenim podacima.
  • Pratite aktivnosti povezane s porezima. Pazite na neočekivane porezne transkripte, odbijene e-prijave ili pisma poreznih tijela o prijavama koje niste podnijeli.
  • Iskoristite ponudu za praćenje. Ako ste obaviješteni, prijavite se prije roka 31. listopada 2026.
  • Raspitajte se o dobavljačima i rokovima. Zatražite da vaš računovođa ili savjetnik otkrije koje treće strane dotiču vaše podatke i koliko se brzo obvezuju obavijestiti vas.
  • Ograničite što šaljete. Podijelite samo dokumente koje zadatak zahtijeva i koristite sigurne portale umjesto privitaka e-pošte.
  • Pazite na phishing. Vijesti o kršenju podataka potiču pokušaje lažnog predstavljanja, pa provjerite svaku poruku o svojim porezima putem službenih kanala.

Zaključak

EY-ovo kršenje podataka pokazuje da su vaši podaci sigurni samo onoliko koliko je najslabiji alat u lancu te da spora obavijest ostavlja ljude izloženima dulje od samog upada. Ne možete kontrolirati sigurnost dobavljača, ali možete kontrolirati koliko brzo reagirate: zaključajte svoj kredit i porezni identitet, postavite teška pitanja stručnjacima koji čuvaju vaše evidencije i djelujte na svaku obavijest koju primite prije nego što rokovi isteknu.