Jak długo dotknięci klienci musieli czekać na powiadomienia o naruszeniu?

Dotknięci klienci czekali około 81 dni, zanim się o naruszeniu dowiedzieli, choć niektóre media zaokrąglają tę lukę do około 83 dni, w zależności od tego, od których dat liczą.

Kiedy EY zidentyfikowało nietypową aktywność i kiedy złożono powiadomienia o naruszeniu?

EY zidentyfikowało nietypową aktywność 23 kwietnia 2026 r., według doniesień jedenaście dni po zakończeniu okna dostępu, a powiadomienia o naruszeniu zostały złożone w połowie lipca 2026 r., w tym raport datowany na 16 lipca 2026 r.

Dlaczego platforma wsparcia IT strony trzeciej stanowi ryzyko w tym naruszeniu?

Systemy zgłoszeń serwisowych gromadzą informacje, takie jak zrzuty ekranu, pliki i dzienniki błędów, co oznacza, że wrażliwe materiały mogą trafić do systemu, który nigdy nie został zaprojektowany jako bezpieczny sejf na dokumenty.

Jakie rodzaje danych zostały ujawnione w naruszeniu danych EY i dlaczego to ma znaczenie?

Ujawnione zostały dane podatkowe, a doniesienia wskazują, że ujawnienie może obejmować numery ubezpieczenia społecznego, co może umożliwić wyłudzenia zwrotu podatku, otwieranie kont i przekonujący phishing.

Naruszenie danych EY: 15-dniowe wtargnięcie, 81-dniowe opóźnienie powiadomienia

Naruszenie danych EY to użyteczne studium przypadku pokazujące, jak ryzyko rozprzestrzenia się przez dostawców zewnętrznych. Według doniesień napastnicy spędzili 15 dni wewnątrz platformy wsparcia IT strony trzeciej, a dotknięci klienci czekali około 81 dni, zanim się o tym dowiedzieli. Dane podatkowe zostały ujawnione. Nawet jeśli twój księgowy nigdy nie miał do czynienia z dotkniętym systemem, incydent pokazuje, dlaczego warto pytać, kto jeszcze przetwarza twoje dokumenty.

Co wiemy o harmonogramie naruszenia danych EY

EY potwierdziło, że hakerzy mieli dostęp do platformy wsparcia IT strony trzeciej przez 15 dni, ujawniając dane podatkowe klientów. Na podstawie publicznych doniesień i listów z powiadomieniami firmy sekwencja wygląda następująco:

Okno dostępu napastnika trwało 15 dni, a następnie zostało zamknięte.
EY zidentyfikowało nietypową aktywność 23 kwietnia 2026 r., według doniesień jedenaście dni po zakończeniu tego okna dostępu.
Powiadomienia o naruszeniu zostały złożone w połowie lipca 2026 r. Raport złożony do Biura Prokuratora Generalnego Vermont jest datowany na 16 lipca 2026 r.

Podana w nagłówkach liczba 81 dni pochodzi z harmonogramu cytowanego w relacjach. Niektóre媒体 zaokrąglają tę lukę nieco inaczej (jedno podaje około 83 dni), w zależności od tego, od których dat liczą. Dokładna liczba ma mniejsze znaczenie niż wzorzec: długi okres między wykryciem a powiadomieniem.

Nasza wcześniejsza relacja na temat tego, jak pliki podatkowe klientów zostały ujawnione przez atak na wsparcie IT opisuje platformę zgłoszeń serwisowych będącą w centrum incydentu.

Dlaczego platforma wsparcia IT strony trzeciej ma znaczenie

Systemy zgłoszeń serwisowych gromadzą wiele informacji. Pracownicy załączają zrzuty ekranu, pliki i dzienniki błędów, aby problem mógł zostać szybko zdiagnozowany. Ta wygoda oznacza, że wrażliwe materiały mogą trafić do systemu, który nigdy nie został zaprojektowany jako bezpieczny sejf na dokumenty.

To jest kluczowa lekcja dotycząca dostawców zewnętrznych. Firma może stosować silne zabezpieczenia w swoich głównych systemach, a mimo to być narażona przez narzędzie używane do rutynowych operacji. Dla klientów słaby punkt jest często niewidoczny: ufasz swojemu doradcy, ale rzadko wiesz, jakie platformy stoją za nim.

Krąg ofiar również się poszerzył. Późniejsze ujawnienia wymieniły Goldman Sachs i Man Group wśród dotkniętych organizacji, co pokazuje, jak jedno naruszenie po stronie dostawcy może dotrzeć do wielu odrębnych organizacji jednocześnie.

Luka w powiadomieniach: dlaczego się liczy

Długie opóźnienie między wykryciem a powiadomieniem to nie tylko kwestia proceduralna. Dochodzenia wymagają czasu, a firmy muszą ustalić, czyje dane były zaangażowane. Ale każdy dzień bez powiadomienia to dzień, w którym dotknięte osoby nie mogą zastrzec kredytu, obserwować fałszywych zeznań podatkowych ani zmienić haseł.

Dane podatkowe podnoszą stawkę. Doniesienia wskazują, że ujawnienie może obejmować numery ubezpieczenia społecznego. Tego rodzaju informacje pozwalają przestępcom próbować wyłudzeń zwrotu podatku, otwierać konta lub tworzyć przekonujące wiadomości phishingowe. Najbardziej zagrożone są osoby, które jeszcze nie wiedzą, że zostały dotknięte.

Powiadomionym osobom oferowany jest monitoring tożsamości. Według doniesień okno rejestracji trwa do 31 października 2026 r., więc warto działać przed tym terminem, jeśli otrzymasz list.

Co to oznacza dla ciebie

Nie musisz być klientem EY, aby wyciągnąć z tego coś dla siebie. Wiele osób udostępnia dokumenty podatkowe księgowym, dostawcom usług płacowych i doradcom finansowym, a każdy z nich może polegać na platformach stron trzecich.

Jeśli otrzymałeś list z powiadomieniem, potraktuj go poważnie i odpowiedz niezwłocznie. Listy z powiadomieniami są legalnym sposobem kontaktowania się z dotkniętymi osobami, ale oszuści często je imitują po naruszeniu, więc korzystaj z danych kontaktowych wydrukowanych na oficjalnym liście, a nie z linków w nieoczekiwanych e-mailach.

Jeśli nie otrzymałeś listu, nadal masz powód, aby zweryfikować swoje narażenie. Zapytaj swojego księgowego lub doradcę, czy korzysta z zewnętrznego wsparcia IT lub platform zgłoszeń serwisowych oraz czy te narzędzia mogą zawierać pliki klientów. Zapytaj również, jakie są ich zobowiązania do powiadomienia cię po incydencie. Niejasne odpowiedzi same w sobie są informacją.

Aby uzyskać przewodnik krok po kroku, zobacz nasz przewodnik na temat jak chronić swoje dokumenty po naruszeniu danych podatkowych EY.

Praktyczne wnioski

Poproś o PIN ochrony tożsamości lub odpowiednik. Wiele agencji podatkowych oferuje dodatkową warstwę, która blokuje komuś innemu złożenie deklaracji w twoim imieniu. Sprawdź, co oferuje twoja krajowa lub stanowa agencja.
Zastrzeż swój kredyt. Zastrzeżenie jest bezpłatne w wielu krajach i uniemożliwia otwieranie nowych kont przy użyciu skradzionych danych.
Monitoruj aktywność związaną z podatkami. Uważaj na nieoczekiwane transkrypcje podatkowe, odrzucone e-deklaracje lub listy od organów podatkowych dotyczące deklaracji, których nie składałeś.
Skorzystaj z oferty monitoringu. Jeśli zostałeś powiadomiony, zarejestruj się przed terminem 31 października 2026 r.
Pytaj o dostawców i terminy. Poproś swojego księgowego lub doradcę o ujawnienie, które strony trzecie mają dostęp do twoich danych i jak szybko zobowiązują się cię powiadomić.
Ogranicz to, co wysyłasz. Udostępniaj tylko dokumenty wymagane do danego zadania i korzystaj z bezpiecznych portali zamiast załączników e-mail.
Uważaj na phishing. Wiadomości o naruszeniach napędzają próby podszywania się, więc weryfikuj wszelkie wiadomości dotyczące twoich podatków przez oficjalne kanały.

Podsumowanie

Naruszenie danych EY pokazuje, że twoje dane są tak bezpieczne, jak najsłabsze narzędzie w łańcuchu, a powolne powiadomienie pozostawia ludzi narażonych dłużej niż samo wtargnięcie. Nie możesz kontrolować bezpieczeństwa dostawcy, ale możesz kontrolować, jak szybko zareagujesz: zabezpiecz swój kredyt i tożsamość podatkową, zadawaj trudne pytania profesjonalistom, którzy przechowują twoje dokumenty, i działaj na podstawie każdego otrzymanego powiadomienia, zanim miną terminy.

FAQ