Naruszenie danych w EY ujawnia dokumenty podatkowe klientów przez atak na pomoc techniczną IT

Naruszenie danych EY uderza w zewnętrzną platformę wsparcia IT

Ernst & Young LLP, jedna z największych na świecie firm świadczących usługi profesjonalne, powiadamia klientów o naruszeniu danych, które naruszyło platformę zgłoszeń wsparcia technicznego wykorzystywaną przez jej pracowników IT. Zgodnie z ujawnionymi informacjami, nieupoważniona strona trzecia uzyskała dostęp do systemu i pobrała dokumenty zawierające dane podatkowe klientów w ciągu około dwutygodniowego okresu tej wiosny. Naruszenie danych w EY przypomina, że nawet największe, najlepiej wyposażone firmy mogą być narażone poprzez narzędzia, z których ich wewnętrzne zespoły wsparcia korzystają na co dzień.

Systemy zgłoszeń wsparcia są często traktowane jako infrastruktura o niskim priorytecie w porównaniu z platformami obsługującymi klientów czy systemami finansowymi. Jednak narzędzia te często zawierają załączniki, korespondencję i pliki przesyłane przez pracowników podczas rozwiązywania problemów technicznych, w tym wrażliwe dokumenty podatkowe udostępniane podczas rutynowych zgłoszeń do pomocy IT. To sprawia, że stają się one atrakcyjnym, choć często pomijanym celem.

Jak system wsparcia stał się słabym punktem

EY nie opublikowało szczegółowej analizy technicznej sposobu, w jaki atakujący uzyskał dostęp, ale incydent ten pasuje do schematu, który badacze bezpieczeństwa wielokrotnie podkreślali w ostatnich miesiącach: systemy zewnętrzne i powiązane ze wsparciem są coraz częściej wykorzystywane jako punkt wejścia do skądinąd dobrze bronionych organizacji. Atakujący rozumieją, że frontowe drzwi firmy – jej główna sieć, systemy pocztowe i portale klientów – zazwyczaj otrzymują największe inwestycje w bezpieczeństwo. Narzędzia zaplecza używane przez wewnętrzny personel IT czasami podlegają mniejszej kontroli, mimo że mogą zawierać zaskakującą ilość wrażliwych materiałów.

Ta dynamika nie dotyczy wyłącznie EY. Inne niedawne incydenty, w tym kampania złośliwego oprogramowania w instalatorach MSI atakująca handlarzy kryptowalutami, pokazują, jak atakujący wciąż wykorzystują zaufane oprogramowanie i kanały wsparcia, zamiast próbować frontalnego ataku na utwardzone systemy. W tamtym przypadku na stałe zakodowane dane uwierzytelniające w plikach instalatora dały atakującym cichy przyczółek. W przypadku EY punktem wejścia była platforma zgłoszeń wsparcia, ale podstawowa lekcja jest taka sama: każdy system, który obsługuje pliki, dane uwierzytelniające lub dane klientów, zasługuje na ten sam poziom ochrony, co podstawowe systemy biznesowe.

Konsekwencje dla prywatności klientów EY

Najbardziej niepokojącym szczegółem w powiadomieniu EY jest charakter danych, których dotyczy incydent. Dokumenty podatkowe zazwyczaj zawierają numery ubezpieczenia społecznego, szczegóły dochodów, informacje o rachunkach finansowych oraz inne identyfikatory cenne przy kradzieży tożsamości i oszustwach podatkowych. Około dwutygodniowe okno dostępu daje atakującemu wystarczająco dużo czasu na zidentyfikowanie, wybranie i wyeksfiltrowanie określonych plików, zamiast masowego zgarniania danych, co sugeruje, że włamanie mogło być celowe, a nie przypadkowe.

Dla dotkniętych klientów stawka prywatności wykracza poza natychmiastowe ujawnienie. Dane podatkowe mają długi okres przydatności. W przeciwieństwie do hasła, które można natychmiast zmienić, numer ubezpieczenia społecznego czy historyczne zeznania podatkowe nie dają się po prostu zresetować. Oznacza to, że konsekwencje tego rodzaju naruszenia mogą ujawnić się miesiące, a nawet lata później, w postaci fałszywych deklaracji podatkowych, nieautoryzowanych wniosków kredytowych czy ukierunkowanych prób phishingu, które odwołują się do rzeczywistych danych konta, by wyglądać wiarygodnie.

Co to oznacza dla Ciebie

Jeśli jesteś klientem EY lub klientem dowolnej firmy, która przetwarzała Twoje dokumenty podatkowe za pośrednictwem zewnętrznej platformy, ten incydent jest użytecznym sygnałem, by przejrzeć swoją własną ekspozycję. Zapytaj swojego dostawcę bezpośrednio, czy Twoje dane znalazły się wśród plików, do których uzyskano dostęp, poproś o pisemne potwierdzenie i dowiedz się, jakie usługi monitorowania lub ochrony, takie jak monitorowanie kredytu, są oferowane w związku z tym zdarzeniem.

Szerzej, to naruszenie pokazuje, dlaczego warto zachować ostrożność co do tego, ile wrażliwej dokumentacji jest w ogóle przesyłane do portali wsparcia, nawet jeśli zgłoszenie wydaje się rutynowe. Zgłoszenia do pomocy IT nie zawsze są projektowane z taką samą dbałością o bezpieczeństwo jak dedykowane systemy zarządzania dokumentami, a klienci rzadko mają wgląd w to, jak długo przesłane pliki są przechowywane lub kto ma do nich dostęp wewnętrznie.

Praktyczne wskazówki

Jeśli uważasz, że Twoje dane podatkowe mogły zostać dotknięte naruszeniem danych w EY lub podobnym incydentem w firmie świadczącej usługi profesjonalne, rozważ poniższe kroki:

• Skontaktuj się bezpośrednio z firmą, aby potwierdzić, czy Twoje konkretne rekordy znalazły się wśród naruszonych plików, i poproś o szczegóły dotyczące zakresu dwutygodniowego okna.
• Złóż ostrzeżenie o oszustwie lub zamrożenie kredytu w głównych biurach informacji kredytowej, jeśli w grę wchodzą identyfikatory podatkowe lub finansowe.
• Uważnie monitoruj dokumenty podatkowe pod kątem oznak nieuczciwych działań, szczególnie w okresie składania zeznań.
• Unikaj przesyłania wrażliwych dokumentów finansowych do portali wsparcia, chyba że jest to absolutnie konieczne, i pytaj dostawców o ich praktyki przechowywania danych.
• Używaj silnych, unikalnych haseł i uwierzytelniania wieloskładnikowego na każdym portalu klienta powiązanym z dotkniętą firmą.
• Przy zdalnym dostępie do wrażliwych platform finansowych dodanie warstwy szyfrowania za pomocą poprawnie skonfigurowanego VPN, tak jak opisano w tym poradniku konfiguracji NordVPN, może zmniejszyć narażenie w niezabezpieczonych sieciach.

Naruszenie danych w EY podkreśla szerszą prawdę o nowoczesnej ochronie danych: bezpieczeństwo jest tylko tak silne, jak jego najsłabiej monitorowany system. W miarę kontynuowania dochodzeń dotknięci klienci powinni zachować czujność na oficjalne komunikaty i traktować z ostrożnością wszelkie nieoczekiwane wiadomości e-mail odwołujące się do tego incydentu, ponieważ naruszenia tego typu często wywołują falę kolejnych prób phishingu.