Ernst & Young memberi tahu pelanggan tentang pelanggaran data yang disebabkan oleh penyusupan sistem tiket dukungan pihak ketiga yang digunakan oleh personel TI-nya.
Menurut perusahaan, tiket dukungan yang dikirimkan melalui platform mungkin menyertakan dokumen yang berisi informasi pajak klien.
Ernst & Young (EY) adalah salah satu dari empat penyedia jasa audit dan profesional terbesar di dunia, yang menawarkan layanan audit, perpajakan, konsultasi, dan konsultasi transaksi kepada organisasi-organisasi besar di lebih dari 150 negara.
Perusahaan ini mempekerjakan 406.000 orang dan melaporkan pendapatan global sebesar $53,2 miliar tahun lalu.
Pemberitahuan pelanggaran kepada klien yang terkena dampak menyatakan bahwa Ernst & Young mendeteksi aktivitas anomali di jaringannya pada tanggal 23 April dan memulai penyelidikan.
Dengan bantuan dari pakar keamanan siber eksternal, perusahaan menentukan bahwa pihak ketiga yang tidak berwenang telah mengakses platform tersebut antara tanggal 28 Maret dan 12 April dan mengunduh banyak dokumen.
Informasi yang terkena dampak termasuk data pribadi dan keuangan tertentu yang terkandung dalam atau digunakan untuk menyiapkan pengajuan pajak. Sejak itu contoh pemberitahuan menampilkan placeholder untuk tipe data tertentu, tipe informasi yang diekspos masih belum jelas.
Selain itu, perusahaan belum menyampaikan secara pasti berapa banyak pelanggan yang terkena dampaknya atau apakah insiden tersebut hanya berdampak pada basis pelanggannya di AS atau negara lain juga.
Ernst & Young mengatakan pihaknya mengamankan sistemnya dan memberi tahu otoritas penegak hukum federal, sekaligus memastikan bahwa akses tidak sah telah dihapus.
Perusahaan juga menyatakan bahwa mereka tidak mengetahui adanya penyalahgunaan atau pengungkapan lebih lanjut atas file yang dicuri dan tidak memiliki indikasi bahwa individu tertentu menjadi sasaran pelaku ancaman.
Untuk memitigasi risiko yang timbul dari paparan ini, EY menawarkan layanan pemantauan dan pemulihan identitas selama 24 bulan kepada klien yang terkena dampak melalui Experian dan mendesak penerima surat untuk mendaftar paling lambat tanggal 31 Oktober 2026.
Pada saat artikel ini ditulis, belum ada kelompok pemeras data atau ransomware yang mengaku bertanggung jawab atas serangan terhadap Ernst & Young.
BleepingComputer telah menghubungi EY untuk mengetahui lebih lanjut tentang insiden tersebut, tetapi kami belum menerima tanggapan hingga berita ini diterbitkan.
Uji setiap lapisan sebelum penyerang melakukannya
Tim keamanan mencatat 54% serangan yang berhasil dan hanya memberikan peringatan 14%. Sisanya bergerak melalui lingkungan Anda tanpa terlihat.
Whitepaper Picus menunjukkan bagaimana simulasi pelanggaran dan serangan menguji aturan SIEM dan EDR Anda sehingga ancaman berhenti lolos saat terdeteksi.
