La violazione dei dati EY è un utile caso di studio su come il rischio viaggia attraverso i fornitori. Gli aggressori avrebbero trascorso 15 giorni all'interno di una piattaforma di supporto IT di terze parti, e i clienti colpiti hanno atteso circa 81 giorni per venirne a conoscenza. Sono stati esposti dati fiscali. Anche se il tuo commercialista non ha mai toccato il sistema interessato, l'incidente dimostra perché conviene chiedere chi altro gestisce i tuoi documenti.

Cosa sappiamo sulla cronologia della violazione dei dati EY

EY ha confermato che gli hacker hanno avuto accesso a una piattaforma di supporto IT di terze parti per 15 giorni, esponendo le informazioni fiscali dei clienti. Sulla base delle notizie pubbliche e delle lettere di notifica dell'azienda, la sequenza è la seguente:

  • La finestra di accesso dell'aggressore è durata 15 giorni e poi si è chiusa.
  • EY ha identificato attività anomale il 23 aprile 2026, presumibilmente undici giorni dopo la fine di quella finestra di accesso.
  • Le notifiche di violazione sono state presentate a metà luglio 2026. Un rapporto depositato presso l'Ufficio del Procuratore Generale del Vermont è datato 16 luglio 2026.

La cifra principale di 81 giorni deriva dalla cronologia citata nella copertura mediatica. Alcune testate arrotondano il divario in modo leggermente diverso (una lo colloca a circa 83 giorni), a seconda delle date da cui contano. Il numero esatto conta meno dello schema: un lungo intervallo tra il rilevamento e la notifica.

La nostra precedente copertura su come i file fiscali dei clienti sono stati esposti attraverso un attacco al supporto IT descrive la piattaforma di ticket di supporto al centro dell'incidente.

Perché una piattaforma di supporto IT di terze parti è importante

I sistemi di ticket di supporto raccolgono molte informazioni. Il personale allega screenshot, file e log di errori affinché un problema possa essere diagnosticato rapidamente. Questa comodità significa che materiale sensibile può finire in un sistema che non è mai stato progettato come cassaforte sicura per documenti.

Questa è la lezione principale sui fornitori. Un'azienda può applicare controlli solidi sui propri sistemi principali e rimanere comunque esposta attraverso uno strumento che utilizza per le operazioni quotidiane. Per i clienti, il punto debole è spesso invisibile: ti fidi del tuo consulente, ma raramente sai quali piattaforme ci sono dietro.

Anche la cerchia delle vittime si è ampliata. Divulgazioni successive hanno nominato Goldman Sachs e Man Group tra le organizzazioni colpite, il che dimostra come un singolo compromesso dal lato fornitore possa raggiungere molte organizzazioni separate contemporaneamente.

Il divario nella notifica: perché conta

Un lungo ritardo tra il rilevamento e la notifica non è solo una questione procedurale. Le indagini richiedono tempo, e le aziende devono capire quali dati sono stati coinvolti. Ma ogni giorno senza notifica è un giorno in cui le persone colpite non possono bloccare il credito, monitorare dichiarazioni fraudolente o cambiare le password.

I dati fiscali aumentano la posta in gioco. I rapporti indicano che l'esposizione potrebbe includere numeri di previdenza sociale. Quel tipo di informazioni consente ai criminali di tentare frodi sui rimborsi fiscali, aprire conti o costruire messaggi di phishing convincenti. Le persone più a rischio sono quelle che non sanno ancora di essere state colpite.

Agli individui notificati viene offerto il monitoraggio dell'identità. Secondo le notizie, la finestra di iscrizione dura fino al 31 ottobre 2026, quindi vale la pena agire prima di allora se si riceve una lettera.

Cosa significa per te

Non devi essere un cliente EY per trarre qualcosa da questo. Molte persone condividono documenti fiscali con commercialisti, fornitori di servizi payroll e consulenti finanziari, e ognuno di loro può dipendere da piattaforme di terze parti.

Se hai ricevuto una lettera di notifica, trattala come reale e rispondi prontamente. Le lettere di notifica sono il modo legittimo con cui vengono contattate le persone colpite, ma gli truffatori spesso le imitano dopo una violazione, quindi usa i dettagli di contatto stampati sulla lettera ufficiale piuttosto che i link in email inaspettate.

Se non hai ricevuto una lettera, hai comunque motivo di rivedere la tua esposizione. Chiedi al tuo commercialista o consulente se utilizza supporto IT esterno o piattaforme di ticketing, e se questi strumenti possono contenere file dei clienti. Chiedi anche quale sia il loro impegno a notificarti dopo un incidente. Le risposte vaghe sono esse stesse un'informazione.

Per una guida passo dopo passo, consulta la nostra guida su come proteggere i tuoi documenti dopo la violazione dei dati fiscali EY.

Azioni concrete da intraprendere

  • Richiedi un PIN di protezione dell'identità o equivalente. Molte agenzie fiscali offrono un livello aggiuntivo che impedisce a qualcun altro di dichiarare a tuo nome. Verifica cosa offre la tua agenzia nazionale o statale.
  • Blocca il tuo credito. Un blocco è gratuito in molti paesi e impedisce l'apertura di nuovi conti con dati rubati.
  • Monitora l'attività fiscale. Fai attenzione a estratti fiscali inaspettati, dichiarazioni elettroniche respinte o lettere dalle autorità fiscali su dichiarazioni che non hai presentato.
  • Usa l'offerta di monitoraggio. Se sei stato notificato, iscriviti prima della scadenza del 31 ottobre 2026.
  • Chiedi informazioni sui fornitori e sulle tempistiche. Richiedi che il tuo commercialista o consulente riveli quali terze parti toccano i tuoi dati e con quale rapidità si impegnano a notificarti.
  • Limita ciò che invii. Condividi solo i documenti richiesti da un'attività e usa portali sicuri invece di allegati email.
  • Attenzione al phishing. Le notizie sulle violazioni alimentano tentativi di impersonificazione, quindi verifica qualsiasi messaggio sulle tue tasse attraverso canali ufficiali.

In conclusione

La violazione dei dati EY dimostra che i tuoi dati sono sicuri solo quanto lo strumento più debole della catena, e che una notifica lenta lascia le persone esposte più a lungo dell'intrusione stessa. Non puoi controllare la sicurezza di un fornitore, ma puoi controllare quanto rapidamente reagisci: blocca il tuo credito e la tua identità fiscale, fai domande scomode ai professionisti che custodiscono i tuoi documenti e agisci su qualsiasi notifica ricevi prima che le scadenze passino.