Ernst & Young potwierdził incydent bezpieczeństwa, w wyniku którego doszło do wycieku wrażliwych danych klientów, w tym informacji podatkowych. Zdarzenie nie dotyczyło bezpośrednio głównych systemów firmy, lecz zewnętrznej platformy wykorzystywanej przez dział IT do obsługi zgłoszeń serwisowych.
Jak doszło do wycieku
Firma wykryła nietypową aktywność 23 kwietnia 2026 r., analizując działanie narzędzia należącego do zewnętrznego dostawcy usług IT. To właśnie tam pracownicy EY zgłaszają problemy związane z obsługą procesów podatkowych dla klientów. W takich zgłoszeniach często pojawiają się dokumenty zawierające poufne dane, dlatego naruszenie mogło mieć poważne konsekwencje.
Takie incydenty pokazują, jak duże znaczenie mają systemy zewnętrznych dostawców w codziennej pracy wielkich firm. Nawet pomocnicza platforma może stać się źródłem ryzyka dla danych klientów. W praktyce cyberbezpieczeństwo zaczyna się dziś znacznie dalej niż tylko na własnych serwerach organizacji.
Z późniejszego dochodzenia wynika, że atak rozpoczął się już 28 marca 2026 r. i trwał do 12 kwietnia, kiedy napastnicy mieli stopniowo pobierać pliki z systemu. EY nie ujawnił jednak dokładnie, jakie informacje zostały skradzione ani ilu klientów mogło zostać dotkniętych incydentem.
Zobacz także: Nintendo potwierdza kradzież danych w wyniku cyberataku trzeciej strony — niestety nie ujawniono żadnych wielkich tajemnic.
Reakcja firmy i skala problemu
Po wykryciu zagrożenia firma uruchomiła procedury reagowania na incydenty bezpieczeństwa. Do sprawy zaangażowano także zewnętrznych ekspertów ds. cyberbezpieczeństwa, a odpowiednie instytucje i klienci zostali poinformowani o zdarzeniu.
EY podkreśla, że włamywacze zostali usunięci z systemów, a infrastruktura została zabezpieczona. Na ten moment nie ma też potwierdzenia, by którykolwiek gang hakerski przyznał się do odpowiedzialności za atak.
Czy dane trafiły do sieci?
Na razie nie ma informacji, że skradzione pliki pojawiły się w darknecie. To ważne, bo w wielu podobnych przypadkach dane szybko trafiają do sprzedaży lub są wykorzystywane do kolejnych kampanii phishingowych. Tutaj sytuacja pozostaje jednak niejasna, a zakres wycieku wciąż nie został oficjalnie doprecyzowany.
Nie wiadomo również, czy incydent objął wyłącznie klientów ze Stanów Zjednoczonych, czy także użytkowników z innych regionów świata. Brak precyzyjnych informacji oznacza, że osoby korzystające z usług firmy powinny zachować szczególną ostrożność.
Na co uważać po takim incydencie
EY ostrzega swoich klientów przed niezamówionymi wiadomościami e-mail, zwłaszcza takimi, które podszywają się pod firmę. To standardowy, ale bardzo istotny element po wycieku danych, ponieważ cyberprzestępcy często wykorzystują takie sytuacje do phishingu.
Osoby, których dane mogły zostać ujawnione, otrzymały również ofertę bezpłatnego monitorowania tożsamości oraz usług odzyskiwania danych i wsparcia. Pakiet ochronny obejmuje 24 miesiące usługi realizowanej przez Experian.
Dlaczego ten incydent jest ważny
Ernst & Young należy do tzw. Wielkiej Czwórki, czyli największych globalnych firm z branży audytorskiej i doradczej. Organizacja działa w wielu krajach i obsługuje ogromną liczbę klientów, dlatego nawet wyciek z pozornie pomocniczego systemu może mieć szerokie skutki.
Ten przypadek pokazuje też, że ataki na łańcuch dostaw i zewnętrznych dostawców usług IT stają się coraz większym zagrożeniem. Nawet jeśli główna infrastruktura firmy pozostaje nienaruszona, słabsze ogniwo w postaci platformy wsparcia może otworzyć drogę do poufnych dokumentów i danych klientów.
Zobaczcie, ataki na łańcuch dostaw to teraz norma. Nie wybaczę EY, że nie zabezpieczyli się lepiej, skoro to „Wielka Czwórka”. Klienci powinni być teraz strasznie ostrożni, bo kto wie, jakie dane poszły w świat…
Również się zastanawiam, czy to się dotyczyło również klientów w Europie. Jeśli tak, to można się spodziewać, że ci uważają na wiadomości. To przestroga dla wszystkich firm – nie lekceważcie zabezpieczeń.
Może i ataki są coraz bardziej skomplikowane, ale poważnie? Używać zewnętrznych platform do obróbki tak wrażliwych danych? Pastwienie się nad tym sprawia, że mam ochotę uciekać od takich usług.
Wydaje mi się, że to incydent, który EY powinno rozwiązać bardziej transparentnie. Nie lubię, gdy firmy coś ukrywają, zwłaszcza jak w grę wchodzi moje bezpieczeństwo. Rozumiem, że wydali oświadczenie, ale to nic nie wyjaśnia.
A co jeżeli dane klientów w końcu się pojawią w darknecie? Chyba powinni dawać większe wsparcie dla ludzi, szczególnie w tak ryzykownych czasach. Rekomendacja monitoringu to jedno, ale czy to wystarczy?