Kebocoran Data EY Menimpa Platform Dukungan TI Pihak Ketiga
Ernst & Young LLP, salah satu firma jasa profesional terbesar di dunia, memberi tahu klien tentang kebocoran data yang membobol platform tiket dukungan yang digunakan oleh staf TI-nya. Menurut pengungkapan perusahaan, pihak ketiga yang tidak sah memperoleh akses ke sistem tersebut dan mengunduh dokumen berisi data pajak klien selama jendela waktu sekitar dua minggu pada musim semi ini. Kebocoran data EY menjadi pengingat bahwa bahkan firma terbesar dan paling kaya sumber daya pun dapat terekspos melalui alat yang diandalkan tim dukungan internal mereka setiap hari.
Sistem tiket dukungan sering dianggap sebagai infrastruktur prioritas rendah dibandingkan dengan platform yang berhadapan dengan klien atau sistem keuangan. Namun, alat ini sering kali berisi lampiran, korespondensi, dan file yang diunggah karyawan saat memecahkan masalah teknis, termasuk dokumen pajak sensitif yang dibagikan selama permintaan dukungan TI rutin. Hal itu menjadikannya target yang menarik namun sering terabaikan.
Bagaimana Sistem Dukungan Menjadi Titik Lemah
EY belum menerbitkan rincian teknis terperinci tentang bagaimana penyerang memperoleh akses, tetapi insiden ini sesuai dengan pola yang berulang kali ditandai oleh peneliti keamanan dalam beberapa bulan terakhir: sistem pihak ketiga dan sistem yang berdekatan dengan dukungan semakin sering digunakan sebagai titik masuk ke organisasi yang seharusnya dipertahankan dengan baik. Penyerang memahami bahwa pintu depan perusahaan, jaringan utama, sistem email, dan portal klien, cenderung mendapatkan investasi keamanan paling besar. Alat backend yang digunakan oleh staf TI internal terkadang kurang mendapat pengawasan, meskipun dapat menyimpan materi sensitif dalam jumlah mengejutkan.
Dinamika ini tidak unik untuk EY. Insiden terbaru lainnya, termasuk kampanye malware installer MSI yang menargetkan pedagang kripto, menunjukkan bagaimana penyerang terus mengeksploitasi perangkat lunak tepercaya dan saluran dukungan alih-alih melancarkan serangan frontal pada sistem yang dikeraskan. Dalam kasus itu, kredensial yang dikodekan secara keras dalam file penginstal memberi penyerang pijakan diam-diam. Dalam kasus EY, titik masuknya adalah platform tiket dukungan, tetapi pelajaran dasarnya sama: setiap sistem yang menangani file, kredensial, atau data klien berhak mendapatkan tingkat perlindungan yang sama seperti sistem bisnis inti.
Implikasi Privasi bagi Klien EY
Detail yang paling mengkhawatirkan dalam pemberitahuan EY adalah sifat data yang terlibat. Dokumen pajak biasanya mencakup nomor Jaminan Sosial, rincian pendapatan, informasi akun keuangan, dan pengenal lain yang berharga untuk pencurian identitas dan penipuan pajak. Jendela akses sekitar dua minggu memberi penyerang waktu yang cukup untuk mengidentifikasi, memilih, dan mengeksfiltrasi file tertentu alih-alih mengambil data secara sembarangan, yang menunjukkan bahwa intrusi mungkin disengaja bukan oportunistik.
Bagi klien yang terkena dampak, taruhan privasi melampaui paparan langsung. Data pajak memiliki masa simpan yang panjang. Tidak seperti kata sandi, yang dapat diubah secara instan, nomor Jaminan Sosial atau pengajuan pajak historis tidak dapat begitu saja disetel ulang. Itu berarti konsekuensi dari kebocoran semacam ini dapat muncul berbulan-bulan atau bahkan bertahun-tahun kemudian, dalam bentuk pengajuan pajak palsu, aplikasi kredit yang tidak sah, atau upaya phishing bertarget yang merujuk detail akun nyata untuk tampak sah.
Apa Artinya Ini Bagi Anda
Jika Anda adalah klien EY, atau klien dari firma mana pun yang telah menangani pengajuan pajak Anda melalui platform pihak ketiga, insiden ini adalah pemicu yang berguna untuk meninjau paparan Anda sendiri. Tanyakan langsung kepada penyedia Anda apakah data Anda termasuk di antara file yang diakses, minta konfirmasi secara tertulis, dan cari tahu layanan pemantauan atau perlindungan apa, seperti pemantauan kredit, yang ditawarkan sebagai hasilnya.
Secara lebih luas, kebocoran ini menyoroti mengapa perlu berhati-hati tentang seberapa banyak dokumentasi sensitif yang diunggah ke portal dukungan sejak awal, bahkan ketika permintaan tampak rutin. Tiket dukungan TI tidak selalu dirancang dengan ketelitian keamanan yang sama seperti sistem manajemen dokumen khusus, dan klien jarang memiliki visibilitas tentang berapa lama file yang diunggah disimpan atau siapa yang dapat mengaksesnya secara internal.
Tindakan yang Dapat Diambil
Jika Anda yakin data pajak Anda mungkin terpengaruh oleh kebocoran data EY, atau insiden serupa yang melibatkan firma jasa profesional, pertimbangkan langkah-langkah ini:
- Hubungi firma secara langsung untuk mengonfirmasi apakah catatan spesifik Anda adalah bagian dari file yang dibobol, dan minta rincian tentang cakupan jendela dua minggu tersebut.
- Pasang peringatan penipuan atau pembekuan kredit di biro kredit utama jika pengenal pajak atau keuangan terlibat.
- Pantau pengajuan pajak dengan cermat untuk tanda-tanda aktivitas penipuan, terutama di sekitar musim pengajuan.
- Hindari mengunggah dokumen keuangan sensitif ke portal dukungan kecuali benar-benar diperlukan, dan tanyakan kepada penyedia tentang praktik penyimpanan data mereka.
- Gunakan kata sandi yang kuat dan unik serta autentikasi multi-faktor di portal klien mana pun yang terhubung ke firma yang terkena dampak.
- Saat mengakses platform keuangan sensitif dari jarak jauh, menambahkan lapisan enkripsi melalui VPN yang dikonfigurasi dengan benar, seperti langkah-langkah yang diuraikan dalam panduan pengaturan NordVPN ini, dapat mengurangi paparan di jaringan yang tidak aman.
Kebocoran data EY menggarisbawahi kebenaran yang lebih luas tentang perlindungan data modern: keamanan hanya sekuat sistem yang paling tidak terpantau. Saat penyelidikan berlanjut, klien yang terkena dampak harus tetap waspada terhadap komunikasi resmi dan memperlakukan email tak terduga yang merujuk insiden ini dengan hati-hati, karena kebocoran seperti ini sering memicu gelombang upaya phishing lanjutan.
