Sió-Informatika Rendszerház

Az Ernst & Young, vagyis az EY értesíteni kezdte ügyfeleit egy adatvédelmi incidensről, miután egy támadó hozzáférést szerzett a vállalat által használt külső informatikai támogatási platformhoz, és személyes, valamint pénzügyi adatokat tartalmazó dokumentumokat töltött le.

Az incidens egy harmadik fél által üzemeltetett IT service management rendszerhez kapcsolódik, amelyet az EY munkatársai az ügyfelek adózási szolgáltatásainak támogatására használtak.

A platformon létrehozott támogatási jegyekhez dokumentumokat is lehetett csatolni. Ezek között olyan fájlok is szerepelhettek, amelyeket ügyfelek adóbevallásainak elkészítéséhez használtak fel.

A jelenleg ismert adatok szerint az illetéktelen fél 2026. március 28. és április 12. között férhetett hozzá a rendszerhez, miközben az EY csak április 23-án észlelte a gyanús tevékenységet.

Több mint két hétig hozzáférhettek az adatokhoz

Az EY vizsgálata szerint a támadó körülbelül 16 napon keresztül rendelkezhetett hozzáféréssel a külső támogatási rendszerhez.

A támadó ezalatt több ügyfélhez kapcsolódó dokumentumot töltött le.

A vállalat egy független kiberbiztonsági céget vont be az incidens kivizsgálásába, és az esetet a szövetségi bűnüldöző szerveknek is jelentette.

Az EY közlése szerint:

• a jogosulatlan hozzáférést megszüntették;
• az érintett rendszereket biztonságossá tették;
• nem találtak bizonyítékot az ellopott adatok visszaélésre történő felhasználására;
• nem merült fel arra utaló jel, hogy konkrét személyeket célzottan támadtak volna.

A vállalat ugyanakkor nem közölte, hogy a támadó pontosan milyen módon jutott be a rendszerbe.

Nem ismert, hogy az incidens hátterében:

• ellopott hitelesítő adat;
• szoftversérülékenység;
• hibás hozzáférés-kezelés;
• kompromittált adminisztrátori fiók;
• adathalász támadás;
• harmadik fél infrastruktúrájának feltörése

állt-e.

Egyelőre nem ismert az érintettek teljes száma

Az EY nem hozta nyilvánosságra, összesen hány személy vagy ügyfél adatai kerültek veszélybe.

A vállalat azonban 2026. július 15-én mintabejelentést nyújtott be a kaliforniai főügyész hivatalához.

Kaliforniában azoknak a szervezeteknek kell mintalevelet benyújtaniuk, amelyek több mint 500 állami lakost érintő adatvédelmi incidenst jelentenek be.

Ez arra utal, hogy Kaliforniában legalább több száz érintett lehet.

A bejelentés azonban nem mutatja meg az incidens teljes nagyságát, mivel az EY más amerikai államokban vagy más országokban élő személyeket is értesíthet.

Adóbevallásokhoz használt dokumentumok kerülhettek ki

Az EY értesítése szerint a kompromittált támogatási jegyek olyan dokumentumokat tartalmazhattak, amelyek személyes és pénzügyi adatokat tartalmaztak, és amelyeket ügyfelek adóbevallásainak elkészítéséhez használtak fel.

A nyilvánosságra került mintalevél nem sorolja fel pontosan az összes érintett adattípust, mivel az egyes címzetteknél eltérő adatok kerülhettek veszélybe.

Ezért egyelőre nem lehet kijelenteni, hogy minden érintettnél ugyanazok az adatok szivárogtak ki.

Az sem ismert teljes bizonyossággal, hogy minden esetben érintettek voltak-e:

• társadalombiztosítási azonosítók;
• bankszámlaszámok;
• adóazonosító számok;
• befektetési adatok;
• személyazonosító okmányok;
• állami azonosítók.

Az adózási dokumentumok azonban általában különösen érzékeny információkat tartalmazhatnak.

Milyen adatok szerepelhetnek egy adózási dokumentumban?

Az adóbevallások és azok mellékletei többféle személyes és pénzügyi adatot tartalmazhatnak.

Ilyenek lehetnek:

• teljes név;
• lakcím;
• születési idő;
• társadalombiztosítási szám;
• adóazonosító;
• munkáltató adatai;
• jövedelmi információk;
• befektetési adatok;
• bankszámlaadatok;
• eltartott családtagok adatai;
• adó-visszatérítési információk;
• nyugdíj- és biztosítási adatok;
• ingatlanhoz kapcsolódó információk;
• állami okmányazonosítók.

Az ilyen információk együttesen rendkívül értékesek lehetnek személyazonosság-lopással, adócsalással vagy pénzügyi visszaéléssel foglalkozó bűnözők számára.

A lopott adatok későbbi célzott támadásokhoz is használhatók

Még akkor is jelentős kockázat áll fenn, ha egy ellopott dokumentum önmagában nem elegendő közvetlen pénzügyi csalás elkövetéséhez.

A támadók az abban található részleteket felhasználhatják rendkívül meggyőző, személyre szabott phishingtámadásokhoz.

Egy csaló például tudhatja:

• ki az érintett munkáltatója;
• melyik tanácsadó céggel dolgozik;
• milyen pénzügyi szolgáltatásokat vesz igénybe;
• melyik adóévhez kapcsolódik az ügy;
• milyen befektetésekkel rendelkezik;
• milyen bankot használ;
• mekkora jövedelmi kategóriába tartozik.

Ezekkel az információkkal a támadó könnyebben adhatja ki magát:

• az EY munkatársának;
• adótanácsadónak;
• banki ügyintézőnek;
• kormányzati szervnek;
• adóhatóságnak;
• hitelmonitoring-szolgáltatónak.

A támogatási rendszerek rejtett adatvagyont halmozhatnak fel

Az EY incidense jól mutatja, hogy egy egyszerű ügyféltámogatási vagy ticketing rendszer idővel komoly adatbiztonsági kockázattá válhat.

Az ilyen rendszereket eredetileg arra tervezik, hogy:

• hibajegyeket kezeljenek;
• feladatokat osszanak ki;
• rögzítsék a kommunikációt;
• támogassák a problémamegoldást;
• nyomon kövessék az ügyek állapotát.

A gyakorlatban azonban a munkatársak gyakran töltenek fel:

• képernyőképeket;
• táblázatokat;
• konfigurációs fájlokat;
• naplókat;
• ügyféldokumentumokat;
• pénzügyi adatokat;
• személyes információkat.

Így egy eredetileg operatív támogatási rendszer idővel érzékeny dokumentumtárrá válhat.

Az EY esetében az adózási munkához kapcsolódó fájlok feltöltése azt eredményezte, hogy a rendszer értékes személyes és pénzügyi információkat tartalmazott.

A támadást csak a hozzáférési időszak után észlelték

Az ismert idővonal szerint a támadó 2026. március 28. és április 12. között férhetett hozzá a rendszerhez.

Az EY csak április 23-án észlelte a gyanús tevékenységet.

Ez azt jelenti, hogy az észlelés:

• 11 nappal az utolsó ismert támadói hozzáférés után történt;
• körülbelül 26 nappal az első ismert hozzáférés után következett be.

Nem ismert, hogy a támadó miért hagyta abba a rendszer használatát április 12-én.

Lehetséges, hogy:

• saját döntése alapján megszakította a tevékenységet;
• elvesztette a hozzáférést;
• megváltoztatták a hitelesítő adatokat;
• az infrastruktúra módosult;
• más rendszerbe helyezte át a műveleteit.

Az EY nem közölte azt sem, hogy a támadó megpróbált-e a külső platformról továbbjutni a vállalat belső hálózatába.

Nincs ismert ransomware- vagy zsarolási kapcsolat

2026. július 17-ig egyetlen ismert ransomware- vagy adatlopással foglalkozó zsarolócsoport sem vállalta magára az incidenst.

Az EY sem ransomware-támadásként írta le az eseményt.

A vállalat nem jelentett:

• fájltitkosítást;
• működési fennakadást;
• váltságdíjkövetelést;
• nyilvános adatközzétételt;
• fenyegető levelet;
• zsarolási kísérletet.

Ez azonban nem jelenti azt, hogy az adatokat később nem használhatják fel.

A személyes és pénzügyi dokumentumok akár évekig is értékesek maradhatnak, különösen akkor, ha viszonylag állandó információkat tartalmaznak.

Ilyen például:

• név;
• születési dátum;
• társadalombiztosítási szám;
• adóazonosító;
• korábbi lakcím;
• családi kapcsolat.

Nem nevezték meg a kompromittált szolgáltatót

Az EY nem hozta nyilvánosságra annak a külső technológiai szolgáltatónak a nevét, amelynek platformját a támadás érte.

Ez több fontos kérdést is nyitva hagy.

Nem ismert, hogy:

• kizárólag az EY környezete kompromittálódott-e;
• más ügyfelek is érintettek lehetnek-e;
• a támadó egy EY-fiókhoz fért hozzá;
• a szolgáltató infrastruktúráját törték fel;
• beszállítói adminisztrátori jogosultság került veszélybe;
• egy integrációt használtak ki.

A különbség jelentős.

Ha csak egy EY-hez kapcsolódó fiók kompromittálódott, az incidens korlátozottabb lehet.

Ha azonban a támadó a szolgáltató központi infrastruktúrájához vagy adminisztrátori rendszeréhez jutott hozzá, más ügyfelek adatai is veszélybe kerülhettek.

Beszállítói és ellátási lánci kockázat

A harmadik féltől származó üzleti alkalmazások egyre vonzóbb célpontot jelentenek a támadók számára.

Egyetlen szolgáltató egyszerre több nagyvállalat adatait kezelheti.

Kiemelten kockázatos területek:

• ügyféltámogatási platformok;
• fájlátviteli rendszerek;
• bérszámfejtési szolgáltatások;
• HR-platformok;
• CRM-rendszerek;
• dokumentumkezelők;
• felhőalapú együttműködési szolgáltatások;
• pénzügyi és adózási alkalmazások.

Egy szervezet tehát akkor is szenvedhet adatvédelmi incidenst, ha saját belső infrastruktúrája megfelelően védett, de érzékeny dokumentumokat helyez el egy gyengébben védett külső rendszerben.

Az adatbiztonsági felelősség nem ér véget a kiszervezéssel

Az adatok külső szolgáltatóhoz történő továbbítása nem szünteti meg a szervezet biztonsági és adatvédelmi kötelezettségeit.

A vállalatoknak ismerniük kell:

• milyen adatokat tárol a szolgáltató;
• hol találhatók a rendszerek;
• kik férhetnek hozzá az információkhoz;
• milyen hitelesítést használnak;
• mennyi ideig őrzik meg a fájlokat;
• hogyan monitorozzák a rendellenes letöltéseket;
• milyen incidensértesítési határidők érvényesek;
• hogyan törlik a már nem szükséges adatokat.

A támogatási jegyekhez csatolt dokumentumokat nem szabad átmeneti, jelentéktelen fájlokként kezelni.

Azok sok esetben teljes értékű, szabályozott vállalati dokumentumok.

Milyen védelmi intézkedések csökkenthetik a kockázatot?

A szervezetek több technikai és szervezési intézkedéssel csökkenthetik a támogatási rendszerek kockázatait.

Ilyen lehet:

• a feltölthető fájltípusok korlátozása;
• érzékeny adatok automatikus felismerése;
• adatvesztés-megelőzési szabályok alkalmazása;
• mellékletek titkosítása;
• rövid adatmegőrzési idők beállítása;
• automatikus törlés;
• többtényezős hitelesítés;
• feltételes hozzáférés;
• szerepköralapú jogosultságkezelés;
• nagy tömegű letöltések monitorozása;
• rendszeres hozzáférés-felülvizsgálat;
• beszállítói audit;
• privilegizált fiókok fokozott ellenőrzése.

A tömeges letöltések észlelése kulcsfontosságú

Egy támogatási munkatárs normál esetben megnyithat néhány dokumentumot egy konkrét ügy kivizsgálásához.

Ezzel szemben egyetlen fiók több száz, egymáshoz nem kapcsolódó mellékletet tartalmazó jegy letöltése már gyanús tevékenység lehet.

A biztonsági rendszereknek képesnek kell lenniük az ilyen eltérések felismerésére.

Gyanús indikátor lehet:

• rövid időn belüli tömeges letöltés;
• szokatlan földrajzi helyről történő hozzáférés;
• megszokottól eltérő eszköz használata;
• munkaidőn kívüli nagy aktivitás;
• egymáshoz nem kapcsolódó ügyfélfájlok megnyitása;
• többszöri sikertelen hitelesítés;
• új API-token létrehozása;
• exportfunkciók szokatlan használata.

Két év személyazonosság-védelmet ajánl az EY

Az EY az érintettek számára 24 hónapnyi személyazonosság-monitoring és helyreállítási szolgáltatást biztosít az Experianon keresztül.

Az értesítetteknek 2026. október 31-ig kell regisztrálniuk a szolgáltatásra.

A hitelmonitoring segítséget nyújthat bizonyos visszaélések felismerésében, például új hitelszámla vagy kölcsön megnyitásának kísérlete esetén.

Nem képes azonban minden típusú visszaélést megelőzni.

Nem feltétlenül véd például:

• adócsalás;
• bankszámla-visszaélés;
• meglévő számlák eltérítése;
• célzott phishing;
• személyazonosság-megerősítő kérdések kijátszása;
• üzleti e-mailes csalás

ellen.

Az incidenssel kapcsolatos értesítések újabb phishinghullámot indíthatnak

A nyilvánosságra került adatvédelmi incidenseket a támadók gyakran használják fel újabb csalásokhoz.

Az érintettek kaphatnak olyan hamis üzeneteket, amelyekben a csalók az alábbi szereplőknek adják ki magukat:

• EY;
• Experian;
• bank;
• adóhatóság;
• kormányzati hivatal;
• ügyvédi iroda;
• kártérítési szolgáltató.

A csaló üzenet például azt állíthatja, hogy az érintettnek:

• ellenőriznie kell személyazonosságát;
• meg kell nyitnia egy kiszivárgott dokumentumot;
• regisztrálnia kell a monitoringra;
• meg kell adnia bankszámlaadatait;
• jóvá kell hagynia egy adó-visszatérítést;
• jogosultságát kell igazolnia egy kártérítéshez.

Az EY nevében érkező üzeneteket ezért fokozott óvatossággal kell kezelni.

Mit tehetnek az érintettek?

Az érintett személyeknek javasolt:

• kizárólag az EY hivatalos értesítésében szereplő elérhetőségeket használni;
• kerülni a váratlan e-mailekben található linkeket;
• rendszeresen ellenőrizni a bankszámlákat;
• figyelni a befektetési számlákat;
• áttekinteni a hiteljelentéseket;
• többtényezős hitelesítést bekapcsolni;
• egyedi jelszavakat használni;
• figyelni a szokatlan adóhatósági leveleket;
• ellenőrizni az ismeretlen hitelkérelmeket;
• szükség esetén hitelzárolást kérni.

Az Egyesült Államokban élő érintettek számára az IRS Identity Protection PIN igénylése is hasznos lehet.

Mi az az IRS Identity Protection PIN?

Az Identity Protection PIN egy hatjegyű kód, amely megakadályozhatja, hogy valaki más az érintett társadalombiztosítási vagy adóazonosító számával adóbevallást nyújtson be.

A kód nélkül a csaló nem tud érvényes szövetségi adóbevallást beadni az érintett nevében.

Az IRS hangsúlyozza, hogy soha nem kér IP PIN-kódot:

• telefonon;
• e-mailben;
• SMS-ben.

A kódot kizárólag hivatalos IRS-felületen szabad kezelni.

A hitelzárolás erősebb védelmet adhat

A hitelmonitoring általában csak értesít arról, ha gyanús tevékenység történik.

A hitelzárolás ezzel szemben korlátozza, hogy a hitelezők hozzáférjenek az érintett hiteladataihoz.

Ez megnehezítheti, hogy egy csaló új hitelt vagy kölcsönt nyisson az áldozat nevében.

A hitelzárolás nem nyújt teljes körű védelmet, de új számlás csalások ellen hatékonyabb lehet, mint az egyszerű monitoring.

Az EY a világ egyik legnagyobb tanácsadó hálózata

Az EY a világ négy legnagyobb könyvvizsgáló és professzionális szolgáltató hálózatának egyike.

A Big Four tagjai:

• Ernst & Young;
• Deloitte;
• KPMG;
• PwC.

Az EY több mint 150 országban működik, és szolgáltatásai közé tartozik:

• könyvvizsgálat;
• adótanácsadás;
• üzleti tanácsadás;
• stratégiai tanácsadás;
• tranzakciós szolgáltatások.

A vállalat 2025 júniusával zárult pénzügyi évében 53,2 milliárd dolláros globális bevételről számolt be.

Az adózási üzletág bevétele 12,7 milliárd dollár volt, miközben a globális munkavállalói létszám meghaladta a 406 000 főt.

Ez jól mutatja, milyen nagy mennyiségű érzékeny ügyféladatot kezelhet a szervezet.

Nem ez az első harmadik félhez kapcsolódó EY-incidens

Az EY korábban a Progress Software MOVEit Transfer termékét érintő, 2023-as tömeges támadási kampányban is érintett volt.

A MOVEit-incidens során támadók egy széles körben használt vállalati fájlátviteli rendszer sérülékenységét használták ki, és számos nagy szervezet adataihoz fértek hozzá.

A mostani támadás azonban a jelenlegi információk szerint különálló esemény.

Nincs bizonyíték arra, hogy:

• ugyanaz a sérülékenység;
• ugyanaz a támadói csoport;
• vagy ugyanaz a kampány

állna a háttérben.

Számos fontos kérdés továbbra is megválaszolatlan

Az EY jelenlegi tájékoztatása alapján továbbra sem ismert:

• a külső szolgáltató neve;
• a kezdeti hozzáférés pontos módszere;
• a kompromittált fiókok száma;
• az érintettek teljes létszáma;
• az érintett országok köre;
• a kiszivárgott adatok teljes listája;
• az, hogy a támadó más rendszerekhez is hozzáfért-e;
• az, hogy más ügyfeleket is érintett-e a szolgáltatói incidens.

A teljes kockázat mindaddig nehezen ítélhető meg, amíg ezek a részletek nem válnak ismertté.

Összegzés

Az Ernst & Young adatvédelmi incidenst jelentett be, miután egy támadó hozzáfért a vállalat által használt külső IT-támogatási rendszerhez, és több ügyfélhez kapcsolódó személyes, pénzügyi és adózási dokumentumokat töltött le.

A támadó 2026. március 28. és április 12. között férhetett hozzá a rendszerhez, miközben az EY csak április 23-án észlelte a gyanús tevékenységet.

Az incidens pontos nagysága egyelőre nem ismert, de a kaliforniai hatósághoz benyújtott értesítés alapján legalább több száz érintett lehet csak ebben az államban.

A támadás különösen fontos tanulsága, hogy a támogatási és ticketing rendszerek idővel nagy mennyiségű érzékeny adatot halmozhatnak fel.

A szervezeteknek ezért ezeket a platformokat ugyanolyan szigorúan kell védeniük, monitorozniuk és adatmegőrzési szabályokkal kezelniük, mint bármely más, üzletileg kritikus adattárat.