Ernst & Young avslører datainnbrudd etter brudd på støttesystem

Ernst & Young avslører datainnbrudd etter cyberangrep etter at et tredjeparts supportsystem som ble brukt av selskapets IT-ansatte ble kompromittert. Ifølge selskapet kan supportforespørslene ha inneholdt dokumenter med sensitive personopplysninger og skatterelatert kundeinformasjon.

Ifølge EY kan støttesaker sendt inn via plattformen ha inneholdt dokumenter med sensitiv kundeinformasjon, inkludert skatterelatert informasjon.

ØY er et av verdens fire største revisjons- og konsulentfirmaer og tilbyr revisjons-, skatte-, rådgivnings- og transaksjonstjenester til organisasjoner i over 150 land. Selskapet har rundt 406 000 ansatte og rapporterte globale salg på 53,2 milliarder dollar i løpet av det siste regnskapsåret.

I meldingen til berørte kunder opplyser EY at selskapet oppdaget mistenkelig aktivitet på nettverkene sine 23. april og umiddelbart iverksatte en intern etterforskning.

Med støtte fra eksterne eksperter på cybersikkerhet, ØY at en uautorisert aktør hadde tilgang til det relevante støttesystemet mellom 28. mars og 12. april. I løpet av denne perioden ble en rekke dokumenter lastet ned fra plattformen.

Den eksponerte informasjonen inkluderer: ifølge EY, visse personlige og økonomiske data som ble inkludert i, eller brukt til å utarbeide, selvangivelser. Selskapet har imidlertid ikke spesifisert nøyaktig hvilke datatyper som ble berørt, noe som gjør omfanget av den eksponerte informasjonen uklart.

EY har heller ikke oppgitt hvor mange kunder som er berørt, eller om hendelsen kun påvirker den amerikanske virksomheten eller også kunder i andre land.

Ifølge selskapet er systemene nå sikret, og den uautoriserte tilgangen er stoppet. Hendelsen er også rapportert til føderale politimyndigheter i USA.

ØY sier videre at det for øyeblikket ikke finnes noen indikasjoner på at den stjålne informasjonen har blitt misbrukt eller spredt. Selskapet sier heller ikke at de ser noen tegn på at enkeltpersoner var spesifikt mål for angrepet.

Som et forebyggende tiltak tilbyr EY berørte kunder 24 måneder med identitetsovervåking og gjenopprettingstjenester gjennom Experian. Kunder som har blitt varslet om hendelsen oppfordres til å registrere seg innen 31. oktober 2026.

På publiseringstidspunktet har ingen ransomware- eller datautpressingsgruppe tatt på seg ansvaret for angrepet på Ernst & Young.

Hendelsen viser hvordan selv globale selskaper som Ernst & Young kan bli påvirket når tredjepartsleverandører blir kompromittert. Samtidig understreker hendelsen viktigheten av å beskytte supportplattformer og sensitive kundedata mot stadig mer sofistikerte cybertrusler.