De EY-datacontractbreuk is een nuttige casestudy over hoe risico zich via leveranciers verspreidt. Aanvallers brachten naar verluidt 15 dagen door in een platform voor IT-ondersteuning van een derde partij, en getroffen klanten wachtten ongeveer 81 dagen voordat ze ervan hoorden. Belastinggegevens werden blootgesteld. Zelfs als uw accountant nooit het getroffen systeem heeft aangeraakt, toont het incident aan waarom het loont om te vragen wie anders uw gegevens beheert.

Wat we weten over de tijdlijn van de EY-datacontractbreuk

EY bevestigde dat hackers gedurende 15 dagen toegang hadden tot een platform voor IT-ondersteuning van een derde partij, waardoor belastinggegevens van klanten werden blootgesteld. Op basis van openbare berichtgeving en de kennisgevingsbrieven van het bedrijf ziet de volgorde er als volgt uit:

  • Het toegangsvenster van de aanvaller duurde 15 dagen en sloot daarna.
  • EY identificeerde afwijkende activiteit op 23 april 2026, naar verluidt elf dagen nadat dat toegangsvenster was gesloten.
  • Kennisgevingen van datalekken werden medio juli 2026 ingediend. Een rapport dat bij het kantoor van de procureur-generaal van Vermont werd ingediend, is gedateerd op 16 juli 2026.

Het kopcijfer van 81 dagen komt uit de tijdlijn die in de berichtgeving wordt aangehaald. Sommige media ronden de kloof iets anders af (een noemt ongeveer 83 dagen), afhankelijk van vanaf welke datums ze tellen. Het exacte aantal is minder belangrijk dan het patroon: een lange periode tussen detectie en kennisgeving.

Onze eerdere berichtgeving over hoe belastingbestanden van klanten werden blootgesteld via een IT-ondersteuningshack beschrijft het supportticketplatform dat centraal staat in het incident.

Waarom een platform voor IT-ondersteuning van een derde partij ertoe doet

Supportticketsystemen verzamelen veel informatie. Medewerkers voegen screenshots, bestanden en foutlogboeken toe zodat een probleem snel kan worden gediagnosticeerd. Dat gemak betekent dat gevoelig materiaal terecht kan komen in een systeem dat nooit is ontworpen als een beveiligde documentkluis.

Dit is de kernles over leveranciers. Een bedrijf kan sterke controles hebben op zijn hoofdsystemen en toch kwetsbaar zijn via een tool die het voor routinematige activiteiten gebruikt. Voor klanten is het zwakke punt vaak onzichtbaar: u vertrouwt uw adviseur, maar u weet zelden welke platforms achter hen zitten.

De kring van slachtoffers is ook breder geworden. Latere onthullingen noemden Goldman Sachs en Man Group onder de getroffen organisaties, wat aantoont hoe één compromis aan de kant van een leverancier veel afzonderlijke organisaties tegelijk kan bereiken.

De kennisgevingskloof: waarom die telt

Een lange vertraging tussen detectie en kennisgeving is niet alleen een procedureel probleem. Onderzoeken kosten tijd, en bedrijven moeten uitzoeken van wie de gegevens betrokken waren. Maar elke dag zonder kennisgeving is een dag waarop getroffen mensen geen krediet kunnen bevriezen, niet kunnen letten op frauduleuze aangiften of geen wachtwoorden kunnen wijzigen.

Belastinggegevens verhogen de inzet. Rapporten geven aan dat de blootstelling mogelijk sociale-zekerheidsnummers omvat. Dat soort informatie stelt criminelen in staat om belastingteruggavefraude te plegen, accounts te openen of overtuigende phishingberichten op te stellen. De mensen met het grootste risico zijn degenen die nog niet weten dat ze getroffen zijn.

Getroffen personen krijgen identiteitsmonitoring aangeboden. Volgens berichtgeving loopt het inschrijvingsvenster tot 31 oktober 2026, dus het is de moeite waard om daarvoor actie te ondernemen als u een brief ontvangt.

Wat dit voor u betekent

U hoeft geen EY-klant te zijn om hier iets aan te hebben. Veel mensen delen belastingdocumenten met accountants, loonadministrateurs en financieel adviseurs, en elk van hen kan afhankelijk zijn van platforms van derde partijen.

Als u een kennisgevingsbrief hebt ontvangen, behandel deze dan als echt en reageer snel. Kennisgevingsbrieven zijn de legitieme manier waarop getroffen personen worden gecontacteerd, maar oplichters imiteren ze vaak na een datalek. Gebruik daarom de contactgegevens die op de officiële brief staan in plaats van links in onverwachte e-mails.

Als u geen brief hebt ontvangen, hebt u nog steeds reden om uw blootstelling te beoordelen. Vraag uw accountant of adviseur of zij externe IT-ondersteuning of ticketplatforms gebruiken, en of die tools klantbestanden kunnen bevatten. Vraag ook wat hun toezegging is om u na een incident te informeren. Vage antwoorden zijn op zichzelf informatie.

Zie onze gids voor een stapsgewijze uitleg over hoe u uw gegevens kunt beschermen na de EY-belastingdatalek.

Concrete actiepunten

  • Vraag een identiteitsbeschermings-PIN of equivalent aan. Veel belastingdiensten bieden een extra laag die voorkomt dat iemand anders aangifte in uw naam doet. Controleer wat uw nationale of staatsinstantie biedt.
  • Bevries uw krediet. Een bevriezing is in veel landen gratis en voorkomt dat er nieuwe accounts worden geopend met gestolen gegevens.
  • Houd belastinggerelateerde activiteit in de gaten. Let op onverwachte belastingoverzichten, afgewezen e-aangiften of brieven van belastingdiensten over aangiften die u niet hebt ingediend.
  • Gebruik het monitoringaanbod. Als u een kennisgeving hebt ontvangen, schrijf u dan in vóór de deadline van 31 oktober 2026.
  • Vraag naar leveranciers en termijnen. Verzoek uw accountant of adviseur om te onthullen welke derde partijen uw gegevens aanraken en hoe snel zij toezeggen u te informeren.
  • Beperk wat u verstuurt. Deel alleen de documenten die een taak vereist, en gebruik beveiligde portalen in plaats van e-mailbijlagen.
  • Let op phishing. Nieuws over datalekken wakkert imitatiepogingen aan, dus verifieer elk bericht over uw belastingen via officiële kanalen.

De kern van de zaak

De EY-datacontractbreuk toont aan dat uw gegevens alleen zo veilig zijn als de zwakste tool in de keten, en dat een trage kennisgeving mensen langer blootstelt dan de inbreuk zelf. U kunt de beveiliging van een leverancier niet controleren, maar u kunt wel controleren hoe snel u reageert: zet uw krediet en belastingidentiteit op slot, stel harde vragen aan de professionals die uw gegevens beheren, en onderneem actie op elke kennisgeving die u ontvangt voordat de deadlines verstrijken.