Falha na EY expõe dados fiscais de clientes

A Ernst & Young (EY) iniciou a notificação de clientes afetados por uma violação de dados que comprometeu informação pessoal e financeira armazenada numa plataforma de gestão de serviços de terceiros utilizada para suportar serviços fiscais.

Segundo a empresa, o incidente foi identificado a 23 de abril, após a deteção de atividade anómala na plataforma. A EY ativou os procedimentos de resposta a incidentes, iniciou ações de contenção e recuperação e contratou uma empresa independente de cibersegurança para investigar a origem e o impacto do ataque.

De acordo com a notificação enviada aos clientes, os atacantes tiveram acesso à plataforma entre 28 de março e 12 de abril, período durante o qual descarregaram documentos associados aos processos fiscais dos clientes.

A informação comprometida poderá incluir nomes, moradas, números de Segurança Social, números de contas bancárias, números de cartões de crédito e débito e outros dados utilizados na preparação de declarações fiscais.

A EY afirma que, até ao momento, não identificou evidências de utilização indevida ou de divulgação adicional da informação comprometida. Ainda assim, a empresa disponibilizou aos clientes afetados dois anos de serviços gratuitos de monitorização de crédito, monitorização de identidade e apoio à recuperação de identidade.

A organização não divulgou detalhes sobre o vetor de ataque nem identificou o grupo responsável pelo incidente. Até ao momento, também não existe qualquer reivindicação pública por parte de grupos de ransomware ou de extorsão digital.