EY bestätigt Datenleck auf externem Plattform und informiert vier US-Bundesstaaten über Kundendaten
Die Big Four geben zu, dass es zwischen dem 28. März und dem 12. April eine Sicherheitsverletzung auf einer IT-Support-Plattform gab. Steuerdaten und finanzielle Informationen von Kunden wurden offengelegt. Benachrichtigungen in vier Bundesstaaten; US-Büro bietet 24 Monate Experian-Überwachung an.
Ernst & Young hat in dieser Woche den Verbraucherschutzbehörden in Kalifornien und Vermont mitgeteilt, dass es zu einem Datenleck auf einer externen IT-Service-Management-Plattform gekommen ist, die von ihrer Steuerberatungspraxis genutzt wird. Die Benachrichtigung an den Attorney General von Kalifornien wurde am 15. Juli eingereicht und die in Vermont am 16. Juli. TechTimes berichtete am 19. Juli, dass bisher vier US-Bundesstaaten benachrichtigt wurden und die Schreiben an die Betroffenen am 13. Juli versandt wurden. Es ist das zweite Unternehmen der Big Four, das im Juli einen Zwischenfall von Drittanbietern zugibt, nachdem Accenture am 7. Juli eine Sicherheitslücke bestätigt hatte.
Die eigene Mitteilung von EY, die von Bleeping Computer und Cybernews aufgegriffen wurde, skizziert den Zeitrahmen: unbefugter Zugang zur Plattform zwischen dem 28. März und dem 12. April, interne Entdeckung am 23. April, Eindämmung in den folgenden Tagen und Untersuchung durch ein unabhängiges forensisches Unternehmen. Laut dem Text, der von EY unterzeichnet ist, umfassen die offengelegten Daten Namen, Adressen, Geburtsdaten, Sozialversicherungsnummern, Führerscheine, Bankdaten und Informationen, die zur Erstellung von Steuererklärungen verwendet werden. Das Unternehmen bietet 24 Monate Experian IdentityWorks Monitoring mit einer Anmeldung bis zum 31. Oktober an.
Was noch nicht bestätigt wurde
EY hat nicht den Namen des Anbieters der IT-Service-Management-Plattform veröffentlicht, noch die genaue Anzahl der betroffenen Kunden, noch ob irgendein Bedrohungsakteur den Vorfall öffentlich reklamiert hat. Bis zum Abschluss dieses Artikels hatte keine Ransomware-Gruppe EY auf einer Leck-Website aufgeführt. Das Unternehmen gab auch nicht bekannt, ob Daten von Kunden außerhalb der USA betroffen waren, obwohl die Steuerberatungspraxis integriert zwischen den USA, dem Vereinigten Königreich, Indien und Brasilien nach dem globalen Shared-Service-Modell operiert.
classaction.org und die Kanzlei Edelson Lechtzin haben bereits eine Untersuchung eingeleitet, um eine mögliche Sammelklage vorzubereiten, ein typischer Schritt im Nachgang der Benachrichtigung in den Vereinigten Staaten, der häufig den Zeitplan für zusätzliche Offenlegungen unter Druck setzt.
Das Muster des Quartals bei den Big Four
EY ist die zweite der Big Four, die im Juli einen Vorfall zugibt. Accenture bestätigte am 7. Juli, dass ein Akteur 35 GB Quellcode, RSA- und SSH-Schlüssel, Personal Access Tokens von Azure und Storage-Schlüssel verkaufte. Bei beiden Fällen ist das Muster dasselbe: der Angriffsvektor gelangt über die Lieferantenschicht oder die Identitätsoberfläche in die Unternehmen und bringt die Beratungsunternehmen in die atypische Position von Opfern, nicht von Opfern, für die sie Verantwortung zu tragen haben. Wendi Whitmore, ehemals bei Unit 42, die vor einigen Wochen von SecurityWeek in einem Panel interviewt wurde, sagte, der Markt für externe Unterstützung, der für Audit- und Steuerdienstleistungen genutzt wird, "hat sich zu einem Vektor für systematische Risiken entwickelt, den die Governance der eigenen Prüfungsunternehmen nur schwer erfassen kann".
Die Analogie zum Snowflake-Vorfall des letzten Jahres, der Daten von AT&T und anderen Kunden abgegriffen hat, ist begrenzt. Hier gibt es keine öffentlichen Hinweise auf wiederverwendete Zugangsdaten oder Infostealer. Die öffentliche Offenlegung von EY kam, im Gegensatz zum Muster des letzten Zyklus, vor jeder Veröffentlichung auf einer Leck-Website, was auf einen internen Entdeckungsweg oder durch einen beauftragten Partner hindeutet und nicht auf eine externe Meldung.
Über die Vereinigten Staaten hinaus lesen
Im Vereinigten Königreich hat das Information Commissioner's Office bisher nicht den Erhalt einer separaten Benachrichtigung bestätigt, aber die Fristen des UK GDPR verpflichten zur Kommunikation innerhalb von 72 Stunden, wenn Daten von britischen Bewohnern betroffen waren. EY UK hat eine der größten Steuerpraktiken auf dem europäischen Markt und operiert über dasselbe Plattform-Backbone wie das amerikanische Unternehmen.
In Indien, wo sich mehrere der Global Delivery Centers von EY befinden, verlangt CERT-In eine Benachrichtigung innerhalb von sechs Stunden für Vorfälle bestimmter Kategorien, eine kürzere Frist als in jeder anderen relevanten Gerichtsbarkeit. Es gibt keine öffentlichen Hinweise darauf, dass EY in diesem Vorfall CERT-In kontaktiert hat.
In Brasilien verpflichtet das LGPD zur Mitteilung an die ANPD und die Betroffenen innerhalb eines angemessenen Zeitraums, ohne eine feste Anzahl. EY Brasilien ist Teil der Global Tax Practice, die von dem Leck betroffen ist, hat jedoch bisher nicht bestätigt, ob Daten von lokalen Kunden betroffen waren. Compliance-Anwälte, die von brasilianischen Medien im zweiten Quartal konsultiert wurden, haben darauf hingewiesen, dass die Anzahl der Benachrichtigungen von Dritten an die ANPD in den kommenden Monaten steigen wird, da Fälle wie der von EY den Vektor der Shared Services öffentlich machen.
Für den CIO eines großen Prüfungsunternehmens hat der Vorfall bei EY heute praktische Konsequenzen. Verträge für Audits und Steuerberatung enthalten oft Klauseln zur Benachrichtigung innerhalb von 24 Stunden über jede Eindringung in die Umgebung des Anbieters, die sensible Daten gefährden könnte. Die Benachrichtigungen im Juli werden rechtliche Teams dazu zwingen, einen formalen Nachweis über die Trennung der Plattformen zwischen den Big Four und ihren IT-Service-Management-Anbietern zu verlangen, etwas, das in den meisten aktuellen Verträgen nur erklärt, aber nicht auditiert wird.