EY veri ihlali, riskin tedarikçiler aracılığıyla nasıl yayıldığına dair faydalı bir vaka çalışmasıdır. Saldırganların bir üçüncü taraf BT destek platformunda 15 gün geçirdiği bildirildi ve etkilenen müşteriler yaklaşık 81 gün bekledi...

EY veri ihlali, riskin tedarikçiler aracılığıyla nasıl yayıldığına dair faydalı bir vaka çalışmasıdır. Saldırganların bir üçüncü taraf BT destek platformunda 15 gün geçirdiği bildirildi ve etkilenen müşteriler bunu öğrenmek için yaklaşık 81 gün bekledi. Vergi verileri açığa çıktı. Muhasebeciniz etkilenen sisteme hiç dokunmamış olsa bile, bu olay kayıtlarınızı başka kimin işlediğini sormanın neden faydalı olduğunu gösteriyor.

EY Veri İhlali Zaman Çizelgesi Hakkında Bildiklerimiz

EY, bilgisayar korsanlarının 15 gün boyunca bir üçüncü taraf BT destek platformuna eriştiğini ve müşteri vergi bilgilerini açığa çıkardığını doğruladı. Kamuya açık haberlere ve şirketin bildirim mektuplarına dayanarak, sıralama şöyle görünüyor:

• Saldırganın erişim penceresi 15 gün sürdü ve ardından kapandı.
• EY, anormal aktiviteyi 23 Nisan 2026'da tespit etti; bildirildiğine göre bu, erişim penceresinin kapanmasından on bir gün sonraydı.
• İhlal bildirimleri Temmuz 2026'nın ortasında yapıldı. Vermont Başsavcılık Ofisi'ne sunulan bir rapor 16 Temmuz 2026 tarihlidir.

81 günlük manşet rakamı, haberlerde atıfta bulunulan zaman çizelgesinden geliyor. Bazı yayın kuruluşları bu aralığı biraz farklı yuvarlıyor (biri yaklaşık 83 gün olarak veriyor), hangi tarihlerden saydıklarına bağlı olarak. Kesin sayı, kalıptan daha az önemli: tespit ile bildirim arasında uzun bir süre.

Müşteri vergi dosyalarının bir BT destek saldırısı yoluyla nasıl açığa çıktığına dair daha önceki haberimiz, olayın merkezindeki destek talep platformunu açıklıyor.

Üçüncü Taraf Bir BT Destek Platformu Neden Önemli

Destek talep sistemleri çok fazla bilgi toplar. Personel, bir sorunun hızlıca teşhis edilebilmesi için ekran görüntüleri, dosyalar ve hata günlükleri ekler. Bu kolaylık, hassas materyalin güvenli bir belge kasası olarak tasarlanmamış bir sistemde son bulabileceği anlamına gelir.

Bu, tedarikçi dersinin özüdür. Bir firma ana sistemlerinde güçlü kontroller uygulayabilir ve yine de rutin operasyonlar için kullandığı bir araç üzerinden açık verebilir. Müşteriler için zayıf nokta genellikle görünmezdir: danışmanınıza güvenirsiniz, ancak arkalarında hangi platformların olduğunu nadiren bilirsiniz.

Mağdurlar çemberi de genişledi. Daha sonraki açıklamalar, etkilenen kuruluşlar arasında Goldman Sachs ve Man Group'u isimlendirdi; bu da tedarikçi tarafındaki tek bir ihlalin aynı anda birçok ayrı kuruluşa nasıl ulaşabileceğini gösteriyor.

Bildirim Boşluğu: Neden Önemli

Tespit ile bildirim arasındaki uzun gecikme sadece prosedürel bir sorun değildir. Soruşturmalar zaman alır ve şirketlerin kimin verisinin söz konusu olduğunu çözmesi gerekir. Ancak bildirim olmadan geçen her gün, etkilenen kişilerin krediyi dondurmasının, sahte başvuruları izlemesinin veya şifreleri değiştirmesinin mümkün olmadığı bir gündür.

Vergi verileri riski artırıyor. Raporlar, açığa çıkan verilerin Sosyal Güvenlik numaralarını içerebileceğini gösteriyor. Bu tür bilgiler, suçluların vergi iadesi dolandırıcılığı denemesine, hesap açmasına veya ikna edici kimlik avı mesajları oluşturmasına olanak tanır. En büyük risk altındaki kişiler, henüz etkilendiklerini bilmeyenlerdir.

Bildirim yapılan kişilere kimlik izleme hizmeti sunuluyor. Haberlere göre, kayıt penceresi 31 Ekim 2026'ya kadar sürüyor, dolayısıyla bir mektup alırsanız o tarihten önce harekete geçmeye değer.

Bu Sizin İçin Ne Anlama Geliyor

Bundan bir çıkarım yapmak için EY müşterisi olmanız gerekmiyor. Birçok kişi vergi belgelerini muhasebeciler, bordro sağlayıcıları ve finansal danışmanlarla paylaşır ve bunlardan herhangi biri üçüncü taraf platformlara bağımlı olabilir.

Bir bildirim mektubu aldıysanız, bunu gerçek olarak kabul edin ve derhal yanıt verin. Bildirim mektupları, etkilenen kişilerle iletişim kurulmasının meşru yoludur, ancak dolandırıcılar bir ihlalden sonra sıklıkla bunları taklit eder; bu nedenle beklenmedik e-postalardaki bağlantılar yerine resmi mektupta yazılı iletişim bilgilerini kullanın.

Bir mektup almadıysanız bile maruziyetinizi gözden geçirmek için nedeniniz var. Muhasebecinize veya danışmanınıza dışarıdan BT desteği ya da talep platformları kullanıp kullanmadıklarını ve bu araçların müşteri dosyalarını içerip içeremeyeceğini sorun. Ayrıca bir olaydan sonra sizi bilgilendirme taahhütlerinin ne olduğunu sorun. Belirsiz yanıtlar kendi başına bir bilgidir.

Adım adım bir rehber için, EY vergi verisi ihlalinden sonra kayıtlarınızı nasıl koruyacağınıza dair kılavuzumuza bakın.

Uygulanabilir Çıkarımlar

• Kimlik koruma PIN'i veya eşdeğerini talep edin. Birçok vergi dairesi, başkasının sizin adınıza başvurmasını engelleyen ek bir katman sunar. Ulusal veya eyalet kurumunuzun ne sağladığını kontrol edin.
• Kredinizi dondurun. Dondurma birçok ülkede ücretsizdir ve çalınan bilgilerle yeni hesap açılmasını engeller.
• Vergiyle ilgili faaliyetleri izleyin. Beklenmedik vergi dökümlerine, reddedilen e-beyannamelere veya sunmadığınız beyannameler hakkında vergi dairelerinden gelen mektuplara dikkat edin.
• İzleme teklifini kullanın. Bildirim aldıysanız, 31 Ekim 2026 son tarihinden önce kaydolun.
• Tedarikçileri ve süreleri sorun. Muhasebecinizden veya danışmanınızdan verilerinize hangi üçüncü tarafların eriştiğini ve sizi bilgilendirme taahhütlerinin ne kadar hızlı olduğunu açıklamasını isteyin.
• Gönderdiklerinizi sınırlayın. Yalnızca bir görevin gerektirdiği belgeleri paylaşın ve e-posta ekleri yerine güvenli portalları kullanın.
• Kimlik avına dikkat edin. İhlal haberleri taklit girişimlerini körükler; bu nedenle vergilerinizle ilgili herhangi bir mesajı resmi kanallar aracılığıyla doğrulayın.

Alt Satır

EY veri ihlali, verilerinizin ancak zincirdeki en zayıf araç kadar güvende olduğunu ve yavaş bildirimin insanları ihlalin kendisinden daha uzun süre maruz bıraktığını gösteriyor. Bir tedarikçinin güvenliğini kontrol edemezsiniz, ancak ne kadar hızlı tepki vereceğinizi kontrol edebilirsiniz: kredinizi ve vergi kimliğinizi kilitleyin, kayıtlarınızı tutan profesyonellere zor sorular sorun ve aldığınız her bildirim için son tarihler geçmeden harekete geçin.

SSS: S1: EY veri ihlali sırasında saldırganlar üçüncü taraf BT destek platformunda ne kadar süre kaldı? C1: Saldırganların erişim penceresi kapanmadan önce bir üçüncü taraf BT destek platformunda 15 gün geçirdiği bildirildi. S2: Etkilenen müşteriler ihlal bildirimlerini almak için ne kadar beklemek zorunda kaldı? C2: Etkilenen müşteriler ihlali öğrenmek için yaklaşık 81 gün bekledi, ancak bazı yayın kuruluşları hangi tarihlerden saydıklarına bağlı olarak bu aralığı yaklaşık 83 güne yuvarlıyor. S3: EY anormal aktiviteyi ne zaman tespit etti ve ihlal bildirimleri ne zaman yapıldı? C3: EY, anormal aktiviteyi 23 Nisan 2026'da tespit etti; bildirildiğine göre bu, erişim penceresinin kapanmasından on bir gün sonraydı ve ihlal bildirimleri Temmuz 2026'nın ortasında, 16 Temmuz 2026 tarihli bir rapor dahil olmak üzere yapıldı. S4: Bu ihlalde üçüncü taraf bir BT destek platformu neden bir risk oluşturuyor? C4: Destek talep sistemleri ekran görüntüleri, dosyalar ve hata günlükleri gibi bilgileri toplar; bu da hassas materyalin güvenli bir belge kasası olarak tasarlanmamış bir sistemde son bulabileceği anlamına gelir. S5: EY veri ihlalinde ne tür veriler açığa çıktı ve bu neden önemli? C5: Vergi verileri açığa çıktı ve raporlar açığa çıkan verilerin Sosyal Güvenlik numaralarını içerebileceğini gösteriyor; bu da vergi iadesi dolandırıcılığı, hesap açma ve ikna edici kimlik avına olanak tanıyabilir. ---END---