Violazione dei dati EY: file fiscali dei clienti esposti tramite attacco al supporto IT

La violazione dei dati EY colpisce la piattaforma di supporto IT di terze parti

Ernst & Young LLP, una delle più grandi società di servizi professionali al mondo, sta informando i clienti di una violazione dei dati che ha compromesso una piattaforma di ticket di supporto utilizzata dal suo personale IT. Secondo quanto comunicato dall'azienda, una terza parte non autorizzata ha avuto accesso al sistema e ha scaricato documenti contenenti dati fiscali dei clienti in un arco di circa due settimane, questa primavera. La violazione dei dati EY ricorda che anche le aziende più grandi e dotate di risorse possono essere esposte attraverso gli strumenti su cui i team di supporto interno fanno affidamento ogni giorno.

I sistemi di ticket di supporto sono spesso considerati infrastrutture a bassa priorità rispetto alle piattaforme rivolte ai clienti o ai sistemi finanziari. Eppure, questi strumenti contengono frequentemente allegati, corrispondenza e file che i dipendenti caricano durante la risoluzione di problemi tecnici, inclusi documenti fiscali sensibili condivisi durante le normali richieste di supporto IT. Questo li rende un bersaglio allettante ma spesso trascurato.

Come un sistema di supporto è diventato un punto debole

EY non ha pubblicato un'analisi tecnica dettagliata su come l'aggressore sia riuscito a entrare, ma l'incidente rientra in uno schema che i ricercatori di sicurezza hanno segnalato ripetutamente negli ultimi mesi: i sistemi di terze parti e quelli ausiliari al supporto sono sempre più utilizzati come punto di ingresso in organizzazioni peraltro ben difese. Gli aggressori sanno che la porta d'ingresso principale di un'azienda, la rete principale, i sistemi di posta elettronica e i portali clienti, ricevono in genere i maggiori investimenti in sicurezza. Gli strumenti di backend utilizzati dal personale IT interno talvolta ricevono meno attenzione, anche se possono contenere una quantità sorprendente di materiale sensibile.

Questa dinamica non è esclusiva di EY. Altri incidenti recenti, tra cui la campagna malware per installer MSI che ha preso di mira i trader di criptovalute, mostrano come gli aggressori continuino a sfruttare software e canali di supporto affidabili anziché tentare un assalto frontale a sistemi rafforzati. In quel caso, credenziali cablate nei file di installazione hanno offerto agli aggressori un punto d'appoggio silenzioso. Nel caso EY, il punto di ingresso è stata una piattaforma di ticket di supporto, ma la lezione di fondo è la stessa: qualsiasi sistema che gestisce file, credenziali o dati dei clienti merita lo stesso livello di protezione dei sistemi aziendali principali.

Implicazioni per la privacy dei clienti EY

Il dettaglio più preoccupante nella notifica di EY è la natura dei dati coinvolti. I documenti fiscali in genere includono numeri di previdenza sociale, dettagli sul reddito, informazioni sui conti finanziari e altri identificatori utili per il furto d'identità e le frodi fiscali. Una finestra di accesso di circa due settimane offre a un aggressore un tempo significativo per identificare, selezionare ed esfiltrare file specifici, anziché prelevare dati indiscriminatamente, il che suggerisce che l'intrusione potrebbe essere stata deliberata piuttosto che opportunistica.

Per i clienti coinvolti, i rischi per la privacy vanno oltre l'esposizione immediata. I dati fiscali hanno una lunga durata. A differenza di una password, che può essere cambiata all'istante, un numero di previdenza sociale o una dichiarazione dei redditi storica non possono essere semplicemente azzerati. Ciò significa che le conseguenze di questo tipo di violazione possono emergere mesi o addirittura anni dopo, sotto forma di dichiarazioni fiscali fraudolente, richieste di credito non autorizzate o tentativi di phishing mirati che fanno riferimento a dettagli reali del conto per apparire legittimi.

Cosa significa per te

Se sei un cliente EY, o cliente di qualsiasi azienda che abbia gestito le tue dichiarazioni fiscali tramite una piattaforma di terze parti, questo incidente è un utile stimolo per rivedere la tua esposizione. Chiedi direttamente al tuo fornitore se i tuoi dati erano tra i file consultati, richiedi una conferma scritta e informati su quali servizi di monitoraggio o protezione, come il monitoraggio del credito, vengono offerti di conseguenza.

Più in generale, questa violazione evidenzia perché vale la pena essere cauti su quanta documentazione sensibile viene caricata sui portali di supporto in primo luogo, anche quando la richiesta sembra di routine. I ticket di supporto IT non sono sempre progettati con lo stesso rigore di sicurezza dei sistemi di gestione documentale dedicati, e i clienti raramente hanno visibilità su quanto a lungo i file caricati vengono conservati o chi può accedervi internamente.

Consigli pratici

Se ritieni che i tuoi dati fiscali possano essere stati coinvolti nella violazione dei dati EY, o in un incidente simile che ha coinvolto una società di servizi professionali, prendi in considerazione questi passaggi:

• Contatta direttamente l'azienda per confermare se i tuoi documenti specifici erano tra i file compromessi e richiedi dettagli sull'arco temporale delle due settimane.
• Inserisci un avviso di frode o un blocco del credito presso le principali agenzie di credito se sono stati coinvolti identificatori fiscali o finanziari.
• Monitora attentamente le dichiarazioni fiscali per individuare segni di attività fraudolente, in particolare durante la stagione delle dichiarazioni.
• Evita di caricare documenti finanziari sensibili sui portali di supporto se non strettamente necessario e chiedi ai fornitori informazioni sulle loro pratiche di conservazione dei dati.
• Utilizza password complesse e uniche e l'autenticazione a più fattori su qualsiasi portale clienti collegato all'azienda interessata.
• Quando accedi a piattaforme finanziarie sensibili da remoto, l'aggiunta di un livello di crittografia tramite una VPN configurata correttamente, come i passaggi descritti in questa guida alla configurazione di NordVPN, può ridurre l'esposizione su reti non sicure.

La violazione dei dati EY sottolinea una verità più ampia sulla moderna protezione dei dati: la sicurezza è forte solo quanto il suo sistema meno monitorato. Mentre le indagini proseguono, i clienti coinvolti dovrebbero rimanere vigili per le comunicazioni ufficiali e trattare con cautela qualsiasi email inaspettata che faccia riferimento a questo incidente, poiché violazioni come questa spesso scatenano un'ondata di tentativi di phishing successivi.