Az EY adatszivárgása hasznos esettanulmány arról, hogyan terjed a kockázat a beszállítókon keresztül. A támadók állítólag 15 napot töltöttek egy harmadik féltől származó IT-támogatási platformon belül, és az érintett ügyfelek körülbelül 81 napot vártak, mire értesültek róla. Adóadatok kerültek ki. Még ha a könyvelője soha nem is érintette az érintett rendszert, az incidens megmutatja, miért érdemes megkérdezni, ki más kezeli az iratait.
Amit az EY adatszivárgás idővonaláról tudunk
Az EY megerősítette, hogy a hackerek 15 napig fértek hozzá egy harmadik féltől származó IT-támogatási platformhoz, ami ügyfelek adóinformációit tette ki. A nyilvános beszámolók és a cég értesítő levelei alapján a sorrend így néz ki:
- A támadó hozzáférési ablaka 15 napig tartott, majd bezárult.
- Az EY 2026. április 23-án azonosított rendellenes tevékenységet, állítólag tizenegy nappal a hozzáférési ablak bezárása után.
- Az adatszivárgási értesítéseket 2026 közepén júliusban nyújtották be. A Vermonti Főügyészi Hivatalhoz benyújtott jelentés 2026. július 16-i keltezésű.
A 81 napos címszám a tudósításokban idézett idővonalból származik. Egyes médiumok kissé eltérően kerekítik a különbséget (az egyik körülbelül 83 napra teszi), attól függően, hogy mely dátumoktól számolnak. A pontos szám kevésbé számít, mint a minta: hosszú időszak az észlelés és az értesítés között.
Korábbi tudósításunk arról, hogy hogyan kerültek ki az ügyfelek adófájljai egy IT-támogatási hacken keresztül, leírja az incidens középpontjában álló támogatójegy-platformot.
Miért számít egy harmadik féltől származó IT-támogatási platform
A támogatójegy-rendszerek sok információt gyűjtenek. A munkatársak képernyőképeket, fájlokat és hibanaplókat csatolnak, hogy egy problémát gyorsan diagnosztizálni lehessen. Ez a kényelem azt jelenti, hogy érzékeny anyagok kerülhetnek olyan rendszerbe, amelyet soha nem biztonságos dokumentumszéfként terveztek.
Ez a beszállítóval kapcsolatos alapvető tanulság. Egy cég erős kontrollokat működtethet a fő rendszerein, és mégis ki lehet téve egy rutinműveletekhez használt eszközön keresztül. Az ügyfelek számára a gyenge pont gyakran láthatatlan: megbízik a tanácsadójában, de ritkán tudja, milyen platformok állnak mögötte.
Az áldozatok köre is szélesedett. A későbbi nyilatkozatok a Goldman Sachsot és a Man Groupot nevezték meg az érintett szervezetek között, ami megmutatja, hogyan érhet el egyetlen beszállítói oldali kompromittálódás egyszerre sok különálló szervezetet.
Az értesítési rés: miért számít
A hosszú késedelem az észlelés és az értesítés között nem csupán eljárási kérdés. A vizsgálatok időbe telnek, és a cégeknek ki kell deríteniük, kinek az adatai érintettek. De minden értesítés nélküli nap egy olyan nap, amikor az érintett emberek nem tudják befagyasztani a hitelüket, figyelni a csalárd bevallásokat, vagy jelszavakat változtatni.
Az adóadatok növelik a tétet. A jelentések szerint a kiszivárgás társadalombiztosítási számokat is tartalmazhat. Az ilyen információk lehetővé teszik a bűnözők számára, hogy adóvisszatérítési csalást kíséreljenek meg, számlákat nyissanak, vagy meggyőző adathalász üzeneteket építsenek. A legnagyobb kockázatnak azok vannak kitéve, akik még nem tudják, hogy érintettek.
Az értesített személyeknek személyazonosság-figyelést ajánlanak fel. A beszámolók szerint a regisztrációs ablak 2026. október 31-ig tart, ezért érdemes addig cselekedni, ha levelet kap.
Mit jelent ez az Ön számára
Nem kell EY-ügyfélnek lennie ahhoz, hogy tanuljon ebből valamit. Sokan osztanak meg adódokumentumokat könyvelőkkel, bérszámfejtőkkel és pénzügyi tanácsadókkal, és bármelyikük támaszkodhat harmadik féltől származó platformokra.
Ha értesítő levelet kapott, kezelje valósként, és válaszoljon haladéktalanul. Az értesítő levelek az érintett emberek megkeresésének legitim módja, de a csalók gyakran utánozzák azokat egy adatszivárgás után, ezért a hivatalos levélen nyomtatott elérhetőségeket használja, ne a váratlan e-mailekben lévő linkeket.
Ha nem kapott levelet, akkor is van oka áttekinteni a kitettségét. Kérdezze meg könyvelőjét vagy tanácsadóját, hogy használnak-e külső IT-támogatást vagy jegykezelő platformokat, és hogy ezek az eszközök tartalmazhatnak-e ügyfélfájlokat. Kérdezze meg azt is, mi az elkötelezettségük az incidens utáni értesítésre. A homályos válaszok önmagukban is információt hordoznak.
Lépésről lépésre útmutatásért lásd útmutatónkat arról, hogyan védje iratait az EY adóadatszivárgása után.
Cselekvhető tanulságok
- Kérjen személyazonosság-védelmi PIN-kódot vagy megfelelőt. Sok adóhatóság kínál egy extra réteget, amely megakadályozza, hogy más nyújtson be az Ön nevében. Nézze meg, mit kínál nemzeti vagy állami hatósága.
- Fagyasztassa be a hitelét. A befagyasztás sok országban ingyenes, és megakadályozza, hogy ellopott adatokkal új számlákat nyissanak.
- Figyelje az adóval kapcsolatos tevékenységet. Figyeljen a váratlan adóátiratokra, elutasított e-bevallásokra vagy az adóhatóságoktól érkező levelekre olyan bevallásokról, amelyeket nem Ön nyújtott be.
- Használja a figyelési ajánlatot. Ha értesítették, regisztráljon a 2026. október 31-i határidő előtt.
- Kérdezzen a beszállítókról és az idővonalakról. Kérje meg könyvelőjét vagy tanácsadóját, hogy fedje fel, mely harmadik felek férnek hozzá az adataihoz, és milyen gyorsan vállalják az értesítést.
- Korlátozza, mit küld. Csak azokat a dokumentumokat ossza meg, amelyeket egy feladat megkövetel, és használjon biztonságos portálokat e-mail mellékletek helyett.
- Figyeljen az adathalászatra. Az adatszivárgási hírek táplálják a megszemélyesítési kísérleteket, ezért ellenőrizze az adóival kapcsolatos bármely üzenetet hivatalos csatornákon keresztül.
A lényeg
Az EY adatszivárgása megmutatja, hogy az adatai csak annyira biztonságosak, mint a lánc leggyengébb eszköze, és hogy a lassú értesítés hosszabb ideig teszi ki az embereket, mint maga a behatolás. Nem tudja irányítani egy beszállító biztonságát, de irányíthatja, milyen gyorsan reagál: zárja le a hitelét és adószemélyazonosságát, tegyen fel kemény kérdéseket az iratait kezelő szakembereknek, és cselekedjen bármely kapott értesítés alapján, mielőtt a határidők lejárnak.
