Ernst & Young, una delle più grandi società di servizi professionali al mondo, ha reso nota una violazione dei dati che ha coinvolto informazioni fiscali sensibili dei clienti. Secondo quanto riportato da Cybernews, gli aggressori hanno avuto accesso a una piattaforma di gestione dei servizi IT di terze parti che EY utilizzava per supportare le proprie attività fiscali. L'incidente ci ricorda che anche le società di contabilità e finanza più affermate dipendono da fornitori esterni per le operazioni quotidiane, e quei fornitori possono diventare l'anello debole in una catena di sicurezza altrimenti solida.

Se sei un cliente EY, un dipendente o semplicemente qualcuno che vuole sapere come proteggere i propri dati fiscali dopo una violazione del genere, ecco cosa è successo, chi è probabilmente coinvolto e quali passi concreti dovresti compiere subito.

Cosa ha esposto la violazione di EY e chi è a rischio

Secondo quanto comunicato, la violazione non ha avuto origine dai sistemi centrali di EY. Gli aggressori hanno invece compromesso una piattaforma di gestione dei servizi IT di terze parti, il tipo di strumento che le aziende usano per registrare ticket di supporto, tracciare richieste tecniche e gestire flussi di lavoro interni. Poiché questa piattaforma era collegata alle funzioni di supporto fiscale, sembra che contenesse documentazione fiscale sensibile presentata dai clienti nell'ambito di normali richieste di assistenza.

Questo è importante perché le piattaforme di supporto IT sono spesso considerate strumenti interni a basso rischio, anche quando finiscono per archiviare allegati altamente sensibili, come dichiarazioni fiscali, rendiconti finanziari o dati di identificazione personale. La nostra precedente copertura dell'incidente, EY Data Breach Exposes Client Tax Files via IT Support Hack, descrive in dettaglio come il sistema di ticketing compromesso sia diventato un archivio inaspettato proprio per il tipo di dati che gli aggressori cercano di più: numeri di previdenza sociale, dettagli sul reddito e cronologia delle dichiarazioni.

Chiunque abbia inviato documenti fiscali attraverso i canali di supporto di EY durante il periodo interessato dovrebbe presumere che le proprie informazioni possano essere state esposte fino a quando EY o il fornitore non confermeranno il contrario.

Passi immediati per i clienti EY: monitoraggio e avvisi di frode

Se hai ricevuto una notifica da EY o ritieni di poter essere coinvolto, non aspettare una risposta definitiva prima di agire. Le violazioni dei dati fiscali sono particolarmente pericolose perché aprono la porta a furti di identità che possono svilupparsi nell'arco di mesi, non di giorni.

Inizia con questi passaggi:

  • Richiedi un PIN di protezione dell'identità all'IRS. Questo numero a sei cifre impedisce a chiunque di presentare una dichiarazione dei redditi utilizzando il tuo numero di previdenza sociale, anche se dispone dei tuoi dati personali.
  • Imposta avvisi di frode o un blocco del credito. Contatta le principali agenzie di credito per inserire un avviso di frode o un blocco sul tuo profilo creditizio. Questo rende più difficile per i malintenzionati aprire nuovi conti a tuo nome.
  • Presta attenzione agli avvisi IRS su dichiarazioni duplicate. Se l'IRS segnala una dichiarazione presentata a tuo nome che non hai inviato, è un segnale precoce di furto d'identità a fini fiscali.
  • Esamina attentamente qualsiasi comunicazione da EY. Le notifiche legittime di violazione non ti chiederanno di cliccare su un link e inserire il tuo numero di previdenza sociale o i dati bancari. I truffatori spesso usano le notizie di violazioni come copertura per tentativi di phishing.

Agire rapidamente riduce la finestra di opportunità per gli aggressori di sfruttare i dati fiscali rubati prima che tu o l'IRS ve ne accorgiate.

Proteggere documenti fiscali e dati finanziari d'ora in poi

Al di là della risposta immediata, questa violazione è un buon motivo per ripensare a come archivi e condividi i documenti fiscali in generale, che tu sia o meno un cliente EY.

Evita di inviare dichiarazioni dei redditi, moduli W-2 o numeri di previdenza sociale come allegati non protetti via email. Se uno studio o una piattaforma ti chiede di caricare documenti sensibili attraverso un ticket di supporto o un portale web, chiedi come vengono archiviati quei dati e per quanto tempo. Elimina vecchie copie di documenti fiscali da unità cloud o caselle di posta elettronica quando non sono più necessarie, e conserva un unico archivio ben protetto anziché copie sparse su più servizi.

Vale anche la pena chiedere direttamente al tuo commercialista o consulente fiscale quali strumenti di terze parti utilizzano e se quei fornitori sono stati sottoposti a controlli di sicurezza. L'incidente EY dimostra che il rischio non riguarda solo lo studio che hai incaricato, ma ogni piattaforma nella catena di fornitura di quello studio.

Una VPN o un archivio crittografato possono davvero aiutare in questo caso?

Una VPN non annullerà una violazione già avvenuta su un server del fornitore, ma gioca un ruolo nel ridurre la tua esposizione futura. L'uso di una VPN crittografa il tuo traffico internet, il che aiuta a impedire agli aggressori di intercettare documenti sensibili mentre li carichi su un portale fiscale, specialmente su reti Wi-Fi pubbliche o condivise.

L'archiviazione cloud crittografata aggiunge un ulteriore livello di protezione, assicurando che anche se il fornitore di archiviazione viene compromesso, i tuoi file rimangano illeggibili senza la tua chiave di decrittazione. Per i documenti fiscali sensibili in particolare, cerca servizi di archiviazione che offrano la crittografia end-to-end piuttosto che affidarti esclusivamente alla crittografia lato server del fornitore, a cui il fornitore stesso può tipicamente accedere.

Nessuno dei due strumenti sostituisce buone abitudini come l'uso del PIN di protezione dell'identità IRS o il monitoraggio del rapporto di credito, ma insieme riducono il numero di modi in cui i tuoi dati fiscali possono essere esposti in primo luogo.

Cosa significa questo per te

La violazione di EY sottolinea una verità più ampia: la sicurezza dei tuoi dati fiscali dipende non solo dallo studio di cui ti fidi, ma da ogni fornitore e piattaforma che quello studio utilizza dietro le quinte. Che tu sia o meno direttamente coinvolto da questo incidente, è un utile incentivo per verificare la tua esposizione, rafforzare le modalità di condivisione dei documenti finanziari e impostare un monitoraggio che rilevi tempestivamente il furto d'identità, prima che il danno sia fatto.

Punti chiave su cui agire

  • Se sei un cliente EY, richiedi subito un PIN di protezione dell'identità IRS e inserisci un avviso di frode o un blocco del credito.
  • Presta attenzione agli avvisi IRS su dichiarazioni duplicate presentate a tuo nome.
  • Smetti di inviare documenti fiscali non protetti via email; utilizza invece archivi crittografati o portali sicuri.
  • Chiedi a qualsiasi studio che gestisce i tuoi dati fiscali quali strumenti di terze parti utilizza e come vengono protetti quei dati.
  • Usa una VPN quando carichi documenti finanziari sensibili su reti pubbliche o condivise.

Per tutti i dettagli tecnici su come è avvenuta la violazione, vale la pena leggere per intero il report originale sull'esposizione dei dati fiscali di EY, che offre un contesto utile per chiunque voglia decidere quanto seriamente prendere la propria esposizione.