Berapa lama klien yang terdampak harus menunggu pemberitahuan pelanggaran?

Klien yang terdampak menunggu sekitar 81 hari untuk mendengar tentang pelanggaran tersebut, meskipun beberapa media membulatkan selisihnya menjadi sekitar 83 hari tergantung dari tanggal mana mereka menghitung.

Kapan EY mengidentifikasi aktivitas anomali dan kapan pemberitahuan pelanggaran diajukan?

EY mengidentifikasi aktivitas anomali pada 23 April 2026, dilaporkan sebelas hari setelah jendela akses berakhir, dan pemberitahuan pelanggaran diajukan pada pertengahan Juli 2026, termasuk laporan bertanggal 16 Juli 2026.

Mengapa platform dukungan TI pihak ketiga menjadi risiko dalam pelanggaran ini?

Sistem tiket dukungan mengumpulkan informasi seperti tangkapan layar, file, dan log kesalahan, yang berarti materi sensitif bisa berakhir di sistem yang tidak pernah dirancang sebagai brankas dokumen yang aman.

Jenis data apa yang terekspos dalam pelanggaran data EY dan mengapa itu penting?

Data pajak terekspos, dan laporan menunjukkan eksposur tersebut mungkin mencakup nomor Jaminan Sosial, yang dapat memungkinkan penipuan pengembalian pajak, pembukaan akun, dan phishing yang meyakinkan.

Pelanggaran Data EY: Intrusi 15 Hari, Keterlambatan Pemberitahuan 81 Hari

Pelanggaran data EY adalah studi kasus yang berguna tentang bagaimana risiko menyebar melalui vendor. Penyerang dilaporkan menghabiskan 15 hari di dalam platform dukungan TI pihak ketiga, dan klien yang terdampak menunggu sekitar 81 hari untuk mendengarnya. Data pajak terekspos. Bahkan jika akuntan Anda tidak pernah menyentuh sistem yang terdampak, insiden ini menunjukkan mengapa penting untuk menanyakan siapa lagi yang menangani catatan Anda.

Apa yang Kita Ketahui Tentang Kronologi Pelanggaran Data EY

EY mengonfirmasi bahwa peretas mengakses platform dukungan TI pihak ketiga selama 15 hari, mengekspos informasi pajak klien. Berdasarkan pemberitaan publik dan surat pemberitahuan perusahaan, urutannya seperti ini:

Jendela akses penyerang berlangsung 15 hari lalu ditutup.
EY mengidentifikasi aktivitas anomali pada 23 April 2026, dilaporkan sebelas hari setelah jendela akses tersebut berakhir.
Pemberitahuan pelanggaran diajukan pada pertengahan Juli 2026. Laporan yang diajukan ke Kantor Jaksa Agung Vermont bertanggal 16 Juli 2026.

Angka utama 81 hari berasal dari kronologi yang dikutip dalam liputan. Beberapa media membulatkan selisihnya sedikit berbeda (satu menempatkannya di sekitar 83 hari), tergantung dari tanggal mana mereka menghitung. Angka pastinya kurang penting dibandingkan polanya: rentang waktu yang panjang antara deteksi dan pemberitahuan.

Liputan kami sebelumnya tentang bagaimana file pajak klien terekspos melalui peretasan dukungan TI menjelaskan platform tiket dukungan yang menjadi pusat insiden ini.

Mengapa Platform Dukungan TI Pihak Ketiga Penting

Sistem tiket dukungan mengumpulkan banyak informasi. Staf melampirkan tangkapan layar, file, dan log kesalahan agar masalah dapat didiagnosis dengan cepat. Kemudahan itu berarti materi sensitif bisa berakhir di sistem yang tidak pernah dirancang sebagai brankas dokumen yang aman.

Inilah pelajaran inti tentang vendor. Sebuah firma dapat menjalankan kontrol yang kuat pada sistem utamanya dan tetap terekspos melalui alat yang digunakannya untuk operasi rutin. Bagi klien, titik lemahnya sering kali tidak terlihat: Anda mempercayai penasihat Anda, tetapi Anda jarang tahu platform apa yang ada di belakang mereka.

Lingkaran korban juga meluas. Pengungkapan selanjutnya menyebut Goldman Sachs dan Man Group termasuk di antara organisasi yang terdampak, yang menunjukkan bagaimana satu kompromi di sisi vendor dapat menjangkau banyak organisasi terpisah sekaligus.

Kesenjangan Pemberitahuan: Mengapa Itu Penting

Keterlambatan panjang antara deteksi dan pemberitahuan bukan sekadar masalah prosedural. Investigasi membutuhkan waktu, dan perusahaan perlu mencari tahu data siapa yang terlibat. Tetapi setiap hari tanpa pemberitahuan adalah hari di mana orang terdampak tidak dapat membekukan kredit, mengawasi pengajuan pajak palsu, atau mengganti kata sandi.

Data pajak meningkatkan taruhannya. Laporan menunjukkan eksposur tersebut mungkin mencakup nomor Jaminan Sosial. Informasi semacam itu memungkinkan penjahat mencoba penipuan pengembalian pajak, membuka akun, atau menyusun pesan phishing yang meyakinkan. Orang yang paling berisiko adalah mereka yang belum tahu bahwa mereka terdampak.

Individu yang diberi tahu ditawari pemantauan identitas. Menurut pemberitaan, jendela pendaftaran berlangsung hingga 31 Oktober 2026, jadi ada baiknya bertindak sebelum tanggal itu jika Anda menerima surat.

Apa Artinya Ini Bagi Anda

Anda tidak harus menjadi klien EY untuk mengambil pelajaran dari ini. Banyak orang berbagi dokumen pajak dengan akuntan, penyedia penggajian, dan penasihat keuangan, dan siapa pun dari mereka mungkin bergantung pada platform pihak ketiga.

Jika Anda menerima surat pemberitahuan, anggap itu nyata dan tanggapi dengan cepat. Surat pemberitahuan adalah cara sah untuk menghubungi orang terdampak, tetapi penipu sering menirunya setelah pelanggaran, jadi gunakan detail kontak yang tercetak pada surat resmi alih-alih tautan dalam email tak terduga.

Jika Anda tidak menerima surat, Anda tetap punya alasan untuk meninjau eksposur Anda. Tanyakan kepada akuntan atau penasihat Anda apakah mereka menggunakan dukungan TI atau platform tiket dari luar, dan apakah alat tersebut dapat memuat file klien. Tanyakan juga apa komitmen mereka untuk memberi tahu Anda setelah insiden. Jawaban yang tidak jelas sudah merupakan informasi tersendiri.

Untuk panduan langkah demi langkah, lihat panduan kami tentang cara melindungi catatan Anda setelah pelanggaran data pajak EY.

Poin Penting yang Dapat Ditindaklanjuti

Minta PIN perlindungan identitas atau yang setara. Banyak otoritas pajak menawarkan lapisan tambahan yang mencegah orang lain mengajukan pajak atas nama Anda. Periksa apa yang disediakan oleh lembaga nasional atau negara bagian Anda.
Bekukan kredit Anda. Pembekuan gratis di banyak negara dan menghentikan pembukaan akun baru dengan data yang dicuri.
Pantau aktivitas terkait pajak. Awasi transkrip pajak tak terduga, e-filing yang ditolak, atau surat dari otoritas pajak tentang surat pemberitahuan yang tidak Anda ajukan.
Manfaatkan tawaran pemantauan. Jika Anda diberi tahu, daftarlah sebelum tenggat 31 Oktober 2026.
Tanyakan tentang vendor dan jadwal. Mintalah akuntan atau penasihat Anda mengungkapkan pihak ketiga mana yang menyentuh data Anda dan seberapa cepat mereka berkomitmen untuk memberi tahu Anda.
Batasi apa yang Anda kirim. Bagikan hanya dokumen yang dibutuhkan suatu tugas, dan gunakan portal aman alih-alih lampiran email.
Waspadai phishing. Berita pelanggaran memicu upaya peniruan identitas, jadi verifikasi setiap pesan tentang pajak Anda melalui saluran resmi.

Intinya

Pelanggaran data EY menunjukkan bahwa data Anda hanya seaman alat terlemah dalam rantai, dan pemberitahuan yang lambat membuat orang terekspos lebih lama daripada intrusinya sendiri. Anda tidak dapat mengendalikan keamanan vendor, tetapi Anda dapat mengendalikan seberapa cepat Anda bereaksi: kunci kredit dan identitas pajak Anda, ajukan pertanyaan sulit kepada para profesional yang menyimpan catatan Anda, dan tindak lanjuti setiap pemberitahuan yang Anda terima sebelum tenggat berakhir.