Ernst & Young (EY), een wereldwijd opererend adviesbureau, heeft haar klanten geïnformeerd over een datalek waarbij persoonlijke en financiële informatie is gecompromitteerd. Het incident werd op 23 april ontdekt en betrof een derdepartij service management platform dat EY gebruikt voor belastinggerelateerde werkzaamheden namens haar klanten.

Volgens EY kunnen via het platform ingediende supporttickets documenten bevatten met klantgegevens over belastingen. Na het constateren van afwijkende activiteiten op het platform, startte EY een incident response en begon met herstel- en remediëringsmaatregelen. Tevens werd een onafhankelijk cybersecuritybedrijf ingeschakeld om de aard en omvang van de aanval te onderzoeken. De aanvallers hadden tussen 28 maart en 12 april toegang tot het platform en hebben documenten van EY-klanten gedownload. De persoonlijke en financiële gegevens in deze documenten omvatten namen, adressen, burgerservicenummers, rekeningnummers, credit- en debetkaartnummers en andere informatie die wordt gebruikt voor het opstellen van belastingaangiften, aldus EY tegenover het Texas Attorney General’s Office.

EY meldt geen aanwijzingen te hebben voor misbruik of verdere verspreiding van de getroffen gegevens. Klanten krijgen twee jaar lang kosteloos kredietbewaking, identiteitsmonitoring en identiteitsherstel aangeboden. Details over de wijze van de aanval of de verantwoordelijke dreigingsactor zijn niet gedeeld. Er is geen bekende ransomware- of afpersingsgroep die de verantwoordelijkheid heeft opgeëist. Een kopie van de kennisgeving aan klanten is ingediend bij het kantoor van de procureur-generaal van Californië, te vinden via deze brief.