EY-datainnbrudd rammer tredjeparts IT-støtteplattform

Ernst & Young LLP, ett av verdens største profesjonelle tjenestefirmaer, varsler klienter om et datainnbrudd som kompromitterte en støttesaksplattform brukt av deres IT-ansatte. Ifølge selskapets redegjørelse fikk en uautorisert tredjepart tilgang til systemet og lastet ned dokumenter som inneholdt klients skattedata i løpet av en periode på omtrent to uker denne våren. EY-datainnbruddet er en påminnelse om at selv de største og mest ressurssterke firmaene kan bli eksponert gjennom verktøyene deres interne støtteteam er avhengige av daglig.

Støttesaksystemer blir ofte behandlet som infrastruktur med lav prioritet sammenlignet med klientrettede plattformer eller finansielle systemer. Likevel inneholder disse verktøyene ofte vedlegg, korrespondanse og filer som ansatte laster opp når de feilsøker tekniske problemer, inkludert sensitive skattedokumenter som deles under rutinemessige IT-støtteforespørsler. Det gjør dem til et attraktivt, men ofte oversett mål.

Hvordan et støttesystem ble et svakt punkt

EY har ikke publisert en detaljert teknisk gjennomgang av hvordan angriperen fikk tilgang, men hendelsen passer inn i et mønster som sikkerhetsforskere har flagget gjentatte ganger de siste månedene: Tredjeparts- og støttenære systemer blir i økende grad brukt som inngangspunkt til ellers godt forsvarte organisasjoner. Angripere forstår at et selskaps hovedinngang, hovednettverk, e-postsystemer og klientportaler, vanligvis får mest sikkerhetsinvestering. Backend-verktøy som brukes av interne IT-ansatte får noen ganger mindre gransking, selv om de kan inneholde overraskende mye sensitivt materiale.

Denne dynamikken er ikke unik for EY. Andre nylige hendelser, inkludert MSI-installer malware-kampanje rettet mot kryptohandlere, viser hvordan angripere fortsetter å utnytte pålitelig programvare og støttekanaler i stedet for å forsøke et frontalangrep på herdede systemer. I det tilfellet ga hardkodede legitimasjonsopplysninger i installasjonsfiler angriperne et stille fotfeste. I EY-saken var inngangspunktet en støttesaksplattform, men den underliggende lærdommen er den samme: Ethvert system som håndterer filer, legitimasjon eller klientdata fortjener samme beskyttelsesnivå som kjernevirksomhetssystemer.

Personvernkonsekvenser for EYs klienter

Den mest bekymringsfulle detaljen i EYs varsel er typen data som er involvert. Skattedokumenter inkluderer vanligvis personnummer, inntektsopplysninger, finanskontoinformasjon og andre identifikatorer som er verdifulle for identitetstyveri og skattesvindel. Et tilgangsvindu på omtrent to uker gir en angriper meningsfull tid til å identifisere, velge ut og eksfiltrere spesifikke filer i stedet for å stjele data vilkårlig, noe som tyder på at inntrengningen kan ha vært målrettet snarere enn opportunistisk.

For berørte klienter går personvernkonsekvensene utover den umiddelbare eksponeringen. Skattedata har lang holdbarhet. I motsetning til et passord, som kan endres umiddelbart, kan et personnummer eller en historisk selvangivelse ikke bare tilbakestilles. Det betyr at konsekvensene av denne typen innbrudd kan dukke opp måneder eller til og med år senere, i form av falske selvangivelser, uautoriserte kredittsøknader eller målrettede phishing-forsøk som refererer til ekte kontodetaljer for å virke legitime.

Hva dette betyr for deg

Hvis du er EY-klient, eller klient hos et firma som har håndtert selvangivelsen din via en tredjepartsplattform, er denne hendelsen en nyttig påminnelse om å gjennomgå din egen eksponering. Spør leverandøren direkte om dataene dine var blant filene som ble aksessert, be om skriftlig bekreftelse, og finn ut hvilke overvåkings- eller beskyttelsestjenester, som kredittovervåking, som tilbys som følge av dette.

Mer generelt fremhever dette innbruddet hvorfor det er verdt å være forsiktig med hvor mye sensitiv dokumentasjon som lastes opp til støtteportaler i utgangspunktet, selv når forespørselen virker rutinemessig. IT-støttesaker er ikke alltid utformet med samme sikkerhetsnivå som dedikerte dokumenthåndteringssystemer, og klienter har sjelden innsyn i hvor lenge opplastede filer beholdes eller hvem som har tilgang til dem internt.

Praktiske tiltak

Hvis du tror at skattedataene dine kan ha blitt berørt av EY-datainnbruddet, eller en lignende hendelse som involverer et profesjonelt tjenestefirma, bør du vurdere disse trinnene:

  • Kontakt firmaet direkte for å bekrefte om dine spesifikke registreringer var en del av de kompromitterte filene, og be om detaljer om omfanget av to-ukers vinduet.
  • Plasser en svindeladvarsel eller kredittfrys hos de store kredittbyråene hvis skatte- eller finansielle identifikatorer var involvert.
  • Overvåk selvangivelser nøye for tegn på svindelaktivitet, spesielt rundt innleveringssesongen.
  • Unngå å laste opp sensitive finansielle dokumenter til støtteportaler med mindre det er absolutt nødvendig, og spør leverandører om deres praksis for datalagring.
  • Bruk sterke, unike passord og flerfaktorautentisering på enhver klientportal koblet til det berørte firmaet.
  • Når du får tilgang til sensitive finansielle plattformer eksternt, kan det å legge til et krypteringslag gjennom en riktig konfigurert VPN, som trinnene beskrevet i denne NordVPN-oppsettsguiden, redusere eksponeringen på usikrede nettverk.

EY-datainnbruddet understreker en bredere sannhet om moderne databeskyttelse: Sikkerheten er bare så sterk som det minst overvåkede systemet. Etter hvert som etterforskningen fortsetter, bør berørte klienter være oppmerksomme på offisiell kommunikasjon og behandle eventuelle uventede e-poster som refererer til denne hendelsen med forsiktighet, siden slike innbrudd ofte utløser en bølge av oppfølgende phishing-forsøk.