เอินส์ท แอนด์ ยัง หนึ่งในบริษัทผู้ให้บริการวิชาชีพที่ใหญ่ที่สุดในโลก เปิดเผยการรั่วไหลของข้อมูลที่เกี่ยวข้องกับบันทึกภาษีที่ละเอียดอ่อนของลูกค้า ตามรายงานจาก Cybernews ผู้โจมตีสามารถเข้าถึงแพลตฟอร์มการจัดการบริการไอทีของบุคคลที่สามที่ EY ใช้สนับสนุนงานด้านภาษี เหตุการณ์นี้เป็นเครื่องย้ำเตือนว่าแม้แต่บริษัทบัญชีและการเงินที่มีชื่อเสียงที่สุดก็ยังต้องพึ่งพาผู้ขายภายนอกในการดำเนินงานประจำวัน และผู้ขายเหล่านั้นอาจกลายเป็นจุดอ่อนที่สุดในห่วงโซ่ความปลอดภัยที่แข็งแกร่ง

หากคุณเป็นลูกค้าของ EY พนักงาน หรือเพียงผู้ที่ต้องการทราบวิธีปกป้องบันทึกภาษีหลังจากการรั่วไหลเช่นนี้ นี่คือสิ่งที่เกิดขึ้น ใครบ้างที่อาจได้รับผลกระทบ และขั้นตอนที่คุณควรดำเนินการทันที

สิ่งที่การรั่วไหลของ EY เปิดเผยและใครบ้างที่ตกอยู่ในความเสี่ยง

ตามที่เปิดเผย การรั่วไหลครั้งนี้ไม่ได้มาจากระบบหลักของ EY แต่ผู้โจมตีเจาะระบบแพลตฟอร์มการจัดการบริการไอทีของบุคคลที่สาม ซึ่งเป็นเครื่องมือที่บริษัทใช้บันทึกตั๋วสนับสนุน ติดตามคำขอทางเทคนิค และจัดการเวิร์กโฟลว์ภายใน เนื่องจากแพลตฟอร์มนี้เชื่อมโยงกับฟังก์ชันสนับสนุนด้านภาษี จึงดูเหมือนว่ามีเอกสารภาษีที่ละเอียดอ่อนซึ่งลูกค้าส่งเข้ามาเป็นส่วนหนึ่งของคำขอบริการตามปกติ

เรื่องนี้สำคัญเพราะแพลตฟอร์มสนับสนุนไอทีมักถูกมองว่าเป็นเครื่องมือภายในที่มีความเสี่ยงต่ำ แม้ว่าสุดท้ายแล้วจะมีการจัดเก็บไฟล์แนบที่ละเอียดอ่อนสูง เช่น แบบยื่นภาษี งบการเงิน หรือรายละเอียดประจำตัวบุคคล การรายงานก่อนหน้าของเราเกี่ยวกับเหตุการณ์นี้ EY Data Breach Exposes Client Tax Files via IT Support Hack ให้รายละเอียดว่าระบบตั๋วที่ถูกบุกรุกกลายเป็นที่เก็บข้อมูลที่ผู้โจมตีต้องการมากที่สุดโดยไม่คาดคิดได้อย่างไร: หมายเลขประกันสังคม รายละเอียดรายได้ และประวัติการยื่นภาษี

ใครก็ตามที่ส่งเอกสารภาษีผ่านช่องทางสนับสนุนของ EY ในช่วงเวลาที่ได้รับผลกระทบ ควรสันนิษฐานว่าข้อมูลของตนอาจถูกเปิดเผยจนกว่า EY หรือผู้ขายจะยืนยันเป็นอย่างอื่น

ขั้นตอนทันทีสำหรับลูกค้า EY: การเฝ้าระวังและแจ้งเตือนการทุจริต

หากคุณได้รับการแจ้งเตือนจาก EY หรือเชื่อว่าคุณอาจได้รับผลกระทบ อย่ารอคำตอบที่แน่ชัดก่อนลงมือ การรั่วไหลของข้อมูลภาษีเป็นอันตรายอย่างยิ่งเพราะเปิดช่องให้เกิดการขโมยอัตลักษณ์ที่อาจยืดเยื้อนานหลายเดือน ไม่ใช่แค่หลายวัน

เริ่มต้นด้วยขั้นตอนเหล่านี้:

  • ขอ PIN ปกป้องอัตลักษณ์จาก IRS หมายเลขหกหลักนี้ป้องกันไม่ให้บุคคลอื่นยื่นแบบแสดงรายการภาษีโดยใช้หมายเลขประกันสังคมของคุณ แม้ว่าจะมีรายละเอียดส่วนบุคคลของคุณก็ตาม
  • ตั้งค่าการแจ้งเตือนการทุจริตหรืออายัดเครดิต ติดต่อสำนักงานข้อมูลเครดิตหลักเพื่อวางคำเตือนการทุจริตหรืออายัดไฟล์เครดิตของคุณ ซึ่งจะทำให้อาชญากรเปิดบัญชีใหม่ในชื่อของคุณได้ยากขึ้น
  • จับตาดูประกาศจาก IRS เกี่ยวกับการยื่นซ้ำซ้อน หาก IRS แจ้งว่ามีการยื่นแบบในชื่อของคุณที่คุณไม่ได้ส่ง นั่นเป็นสัญญาณเตือนล่วงหน้าของการขโมยอัตลักษณ์ที่เกี่ยวข้องกับภาษี
  • ตรวจทานการสื่อสารใด ๆ จาก EY อย่างรอบคอบ การแจ้งเตือนการรั่วไหลที่ถูกต้องจะไม่ขอให้คุณคลิกลิงก์และป้อนหมายเลขประกันสังคมหรือรายละเอียดธนาคาร มิจฉาชีพมักใช้ข่าวการรั่วไหลบังหน้าเพื่อพยายามฟิชชิง

การลงมืออย่างรวดเร็วทำให้ช่วงเวลาที่ผู้โจมตีมีเพื่อใช้ประโยชน์จากข้อมูลภาษีที่ถูกขโมยแคบลง ก่อนที่คุณหรือ IRS จะรู้ทัน

การรักษาความปลอดภัยเอกสารภาษีและข้อมูลทางการเงินในอนาคต

นอกเหนือจากการตอบสนองทันที การรั่วไหลครั้งนี้เป็นตัวกระตุ้นให้คิดใหม่เกี่ยวกับวิธีการจัดเก็บและแบ่งปันเอกสารภาษีโดยทั่วไป ไม่ว่าคุณจะเป็นลูกค้าของ EY หรือไม่

หลีกเลี่ยงการส่งแบบแสดงรายการภาษี ใบ W-2 หรือหมายเลขประกันสังคมทางอีเมลเป็นไฟล์แนบที่ไม่มีการป้องกัน หากบริษัทหรือแพลตฟอร์มขอให้คุณอัปโหลดเอกสารที่ละเอียดอ่อนผ่านตั๋วสนับสนุนหรือพอร์ทัลเว็บ ให้ถามว่าข้อมูลนั้นถูกจัดเก็บอย่างไรและเป็นเวลานานเท่าใด ลบสำเนาเอกสารภาษีเก่าออกจากคลาวด์ไดรฟ์หรือกล่องข้อความอีเมลเมื่อไม่จำเป็นอีกต่อไป และเก็บไฟล์เดียวที่ป้องกันอย่างดีแทนที่จะกระจายสำเนาไปทั่วหลายบริการ

นอกจากนี้ ควรถามนักบัญชีหรือผู้จัดเตรียมภาษีของคุณโดยตรงว่าพวกเขาใช้เครื่องมือของบุคคลที่สามใดบ้าง และผู้ขายเหล่านั้นได้รับการตรวจสอบความปลอดภัยหรือไม่ เหตุการณ์ของ EY แสดงให้เห็นว่าความเสี่ยงไม่ใช่แค่เกี่ยวกับบริษัทที่คุณจ้าง แต่เกี่ยวกับทุกแพลตฟอร์มในห่วงโซ่อุปทานของบริษัทนั้น

VPN หรือที่เก็บข้อมูลเข้ารหัสสามารถช่วยได้จริงหรือไม่?

VPN ไม่สามารถยกเลิกการรั่วไหลที่เกิดขึ้นแล้วบนเซิร์ฟเวอร์ของผู้ขายได้ แต่มีบทบาทในการลดความเสี่ยงของคุณในอนาคต การใช้ VPN เข้ารหัสการรับส่งข้อมูลอินเทอร์เน็ตของคุณ ซึ่งช่วยป้องกันไม่ให้ผู้โจมตีดักจับเอกสารที่ละเอียดอ่อนขณะที่คุณอัปโหลดไปยังพอร์ทัลภาษี โดยเฉพาะบนเครือข่าย Wi-Fi สาธารณะหรือที่ใช้ร่วมกัน

ที่เก็บข้อมูลบนคลาวด์ที่เข้ารหัสเพิ่มการปกป้องอีกชั้นหนึ่ง โดยรับประกันว่าถึงแม้ผู้ให้บริการที่เก็บข้อมูลจะถูกบุกรุก ไฟล์ของคุณก็ยังไม่สามารถอ่านได้หากไม่มีคีย์ถอดรหัสของคุณ สำหรับเอกสารภาษีที่ละเอียดอ่อนโดยเฉพาะ ให้มองหาบริการที่เก็บข้อมูลที่เสนอการเข้ารหัสแบบ end-to-end แทนที่จะพึ่งพาการเข้ารหัสฝั่งเซิร์ฟเวอร์ของผู้ให้บริการเพียงอย่างเดียว ซึ่งโดยทั่วไปผู้ให้บริการเองสามารถเข้าถึงได้

เครื่องมือทั้งสองนี้ไม่ได้ทดแทนนิสัยที่ดี เช่น การใช้ PIN ปกป้องอัตลักษณ์จาก IRS หรือการเฝ้าระวังรายงานเครดิตของคุณ แต่เมื่อใช้ร่วมกันจะช่วยลดจำนวนวิธีที่ข้อมูลภาษีของคุณอาจรั่วไหลตั้งแต่แรก

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

การรั่วไหลของ EY ตอกย้ำความจริงที่กว้างขึ้น: ความปลอดภัยของข้อมูลภาษีของคุณไม่ได้ขึ้นอยู่กับเพียงบริษัทที่คุณไว้วางใจ แต่ขึ้นอยู่กับผู้ขายและแพลตฟอร์มทุกรายที่บริษัทนั้นใช้เบื้องหลัง ไม่ว่าคุณจะได้รับผลกระทบโดยตรงจากเหตุการณ์นี้หรือไม่ก็ตาม มันเป็นตัวกระตุ้นที่มีประโยชน์ให้ตรวจสอบความเสี่ยงของตนเอง ปรับปรุงวิธีการแบ่งปันเอกสารทางการเงิน และตั้งค่าการเฝ้าระวังที่จับการขโมยอัตลักษณ์ได้ตั้งแต่เนิ่น ๆ แทนที่จะหลังจากความเสียหายเกิดขึ้นแล้ว

ข้อสรุปที่นำไปปฏิบัติได้

  • หากคุณเป็นลูกค้าของ EY ให้ขอ PIN ปกป้องอัตลักษณ์จาก IRS และวางคำเตือนการทุจริตหรืออายัดเครดิตเดี๋ยวนี้
  • จับตาดูประกาศจาก IRS เกี่ยวกับการยื่นแบบซ้ำซ้อนในชื่อของคุณ
  • หยุดส่งเอกสารภาษีที่ไม่มีการป้องกันทางอีเมล ใช้ที่เก็บข้อมูลเข้ารหัสหรือพอร์ทัลแทน
  • ถามบริษัทใด ๆ ที่จัดการข้อมูลภาษีของคุณว่าพวกเขาใช้เครื่องมือของบุคคลที่สามใดบ้าง และข้อมูลนั้นได้รับการปกป้องอย่างไร
  • ใช้ VPN เมื่ออัปโหลดเอกสารทางการเงินที่ละเอียดอ่อนบนเครือข่ายสาธารณะหรือที่ใช้ร่วมกัน

สำหรับรายละเอียดทางเทคนิคทั้งหมดเกี่ยวกับวิธีการรั่วไหลที่เกิดขึ้น รายงานเหตุการณ์ต้นฉบับเกี่ยวกับการเปิดเผยข้อมูลภาษีของ EY สมควรอ่านอย่างครบถ้วน และมันนำเสนอบริบทที่เป็นประโยชน์สำหรับทุกคนที่ตัดสินใจว่าควรให้ความสำคัญกับความเสี่ยงของตนเองมากน้อยเพียงใด