Ernst & Young afslører databrud efter brud på supportsystemet

Ernst & Young afslører databrud efter cyberangreb efter at et tredjeparts supportbilletsystem, der blev brugt af virksomhedens IT-personale, blev kompromitteret. Ifølge virksomheden kan supportbilletterne have indeholdt dokumenter med følsomme personoplysninger og skatterelaterede kundeoplysninger.

Ifølge EY kan supportsager indsendt via platformen have indeholdt dokumenter med følsomme kundeoplysninger, herunder skatterelaterede oplysninger.

ØJ er et af verdens fire største revisions- og konsulentfirmaer og tilbyder revisions-, skatte-, rådgivnings- og transaktionstjenester til organisationer i over 150 lande. Virksomheden har omkring 406.000 ansatte og rapporteret globalt salg på 53,2 milliarder dollars i løbet af det seneste regnskabsår.

I beskeden til de berørte kunder oplyser EY, at virksomheden opdagede mistænkelig aktivitet på sine netværk den 23. april og straks iværksatte en intern undersøgelse.

Med støtte fra eksterne cybersikkerhedseksperter, ØJ at en uautoriseret aktør havde adgang til det relevante supportsystem mellem 28. marts og 12. april. I denne periode blev en række dokumenter downloadet fra platformen.

De eksponerede oplysninger omfatter: ifølge EY, visse personlige og økonomiske oplysninger, der var inkluderet i eller brugt til at udarbejde selvangivelser. Virksomheden har dog ikke specificeret præcist, hvilke datatyper der var berørt, hvilket gør omfanget af de eksponerede oplysninger uklart.

EY har heller ikke oplyst, hvor mange kunder der er blevet berørt, eller om hændelsen kun påvirker de amerikanske aktiviteter eller også kunder i andre lande.

Ifølge virksomheden er systemerne nu sikret, og den uautoriserede adgang er stoppet. Hændelsen er også blevet rapporteret til de føderale retshåndhævende myndigheder i USA.

ØJ oplyser endvidere, at der i øjeblikket ikke er tegn på, at de stjålne oplysninger er blevet misbrugt eller formidlet. Virksomheden siger heller ikke, at den ser tegn på, at enkeltpersoner specifikt var mål for angrebet.

Som en sikkerhedsforanstaltning tilbyder EY berørte kunder 24 måneders identitetsovervågning og -gendannelsestjenester via Experian. Kunder, der er blevet underrettet om hændelsen, opfordres til at registrere sig senest den 31. oktober 2026.

På tidspunktet for offentliggørelsen har ingen ransomware- eller dataafpresningsgruppe taget ansvar for angrebet på Ernst & Young.

Hændelsen viser, hvordan selv globale virksomheder som f.eks. Ernst & Young kan blive påvirket, når tredjepartsudbydere kompromitteres. Samtidig understreger hændelsen vigtigheden af at beskytte supportplatforme og følsomme kundedata mod stadig mere sofistikerede cybertrusler.