A EY confirmou o vazamento de documentos de clientes seus. Os arquivos foram baixados por um invasor que acessou uma plataforma de gestão de serviços de tecnologia contratada pela própria EY para apoiar a operação da área tributária da empresa.
Os clientes da EY atingidos incluem pessoas da área de gestão de patrimônio do Goldman Sachs e ligadas ao Man Group, fundo de investimento listado no Reino Unido. Os dois confirmaram que os próprios sistemas não foram comprometidos, ou seja, a exposição veio pelo lado da EY.
Os documentos saíram de tickets de suporte da plataforma. É material anexado a chamados técnicos, e não o conteúdo do sistema principal, o que mostra como um canal auxiliar acumula informação sensível de clientes sem ser tratado como tal.
Vazaram nomes, endereços, números de identificação fiscal, endereços de e-mail e detalhes financeiros. O número de pessoas atingidas não foi divulgado. É um conjunto que permite montar o perfil completo de alguém, e nenhum desses dados muda com a facilidade de uma senha.
A entrada ocorreu por uma vulnerabilidade no software Checkmarx, e o acesso indevido durou de 28 de março a 12 de abril.
A detecção veio em 23 de abril, onze dias depois de o acesso já ter cessado. O invasor entrou, permaneceu cerca de duas semanas, saiu, e só então a atividade suspeita foi percebida.
A EY contratou empresas independentes para verificar a segurança dos sistemas, comunicou reguladores da Califórnia, do Texas, de Massachusetts e de Vermont, e ofereceu monitoramento de crédito aos afetados. A notificação das pessoas expostas coube à própria EY.
