EY confirma vazamento em plataforma terceirizada e notifica quatro estados americanos sobre dados fiscais de clientes
Big Four admite intrusão entre 28 de março e 12 de abril em plataforma de suporte de TI. Dados fiscais e informações financeiras de clientes expostos. Notificações em quatro estados; escritório de EUA oferece 24 meses de monitoramento Experian.
A Ernst & Young comunicou nesta semana às autoridades de proteção ao consumidor da Califórnia e do Vermont que sofreu vazamento de dados em uma plataforma de IT service management terceirizada usada por sua prática de tax services. A notificação à California Attorney General foi arquivada em 15 de julho e a de Vermont em 16 de julho. A TechTimes reportou em 19 de julho que quatro estados americanos foram notificados até agora e que as cartas para os afetados começaram a ser enviadas em 13 de julho. É a segunda das Big Four a admitir incidente de terceiros em julho, depois da Accenture ter confirmado brecha em 7 de julho.
O próprio comunicado da EY, replicado por Bleeping Computer e Cybernews, traça a linha do tempo: acesso não autorizado à plataforma entre 28 de março e 12 de abril, detecção interna em 23 de abril, contenção nos dias seguintes e investigação com firma independente de forense. Segundo o texto assinado pela EY, os dados expostos incluem nomes, endereços, datas de nascimento, números de Social Security, carteiras de habilitação, dados bancários e informações usadas para preparar declarações fiscais. A companhia oferece 24 meses de monitoramento Experian IdentityWorks com inscrição até 31 de outubro.
O que ainda não foi confirmado
A EY não divulgou o nome do fornecedor da plataforma de IT service management, nem o número exato de clientes afetados, nem se algum ator de ameaça reivindicou publicamente o incidente. Nenhum grupo de ransomware havia listado a EY em site de vazamento até o fechamento desta matéria. A firma também não informou se dados de clientes fora dos Estados Unidos foram acessados, apesar de a prática de tax services operar de forma integrada entre Estados Unidos, Reino Unido, Índia e Brasil pelo modelo global de shared service.
A classaction.org e o escritório Edelson Lechtzin já iniciaram investigação para eventual ação coletiva, movimento típico do ciclo pós-notificação nos Estados Unidos e que costuma pressionar o cronograma de disclosure adicional.
O padrão do trimestre nas Big Four
EY é a segunda entre as Big Four a admitir intrusão em julho. A Accenture confirmou em 7 de julho que um ator vendia 35 GB de código-fonte, chaves RSA e SSH, Personal Access Tokens do Azure e chaves de Storage. O padrão nos dois casos é o mesmo: o vetor entra pela camada de fornecedor ou pela superfície de identidade e coloca as consultorias na condição atípica de vítimas, não de responder pela vítima. Para Wendi Whitmore, ex-Unit 42, ouvida pela SecurityWeek em painel semanas atrás, o mercado de suporte terceirizado usado para prestar serviço de auditoria e tax "virou um vetor de risco sistêmico que a governança das próprias auditoras tem dificuldade de mapear".
A analogia com o incidente Snowflake do ano passado, que tirou dados de AT&T e outros clientes, é limitada. Aqui não há evidência pública de credencial reutilizada nem de infostealer. O disclosure público da EY, ao contrário do padrão do último ciclo, veio antes de qualquer publicação em leak site, o que sugere caminho de detecção interna ou por parceiro contratado, e não denúncia externa.
Leitura para além dos Estados Unidos
No Reino Unido, o Information Commissioner's Office ainda não confirmou recebimento de notificação separada, mas os prazos do UK GDPR obrigam comunicação em 72 horas se houve dados de residentes britânicos afetados. A EY UK tem uma das maiores práticas de tax do mercado europeu e opera sobre o mesmo backbone de plataforma que a firma americana.
Na Índia, sede de vários dos Global Delivery Centers da EY, o CERT-In exige notificação em seis horas para incidentes de determinada categoria, prazo mais curto do que qualquer outra jurisdição relevante. Não há indicação pública de que a EY tenha acionado o CERT-In no episódio.
No Brasil, a LGPD obriga comunicação à ANPD e aos titulares em prazo razoável, sem número fechado. A EY Brasil integra a Global Tax Practice que sofreu o vazamento, mas a firma não confirmou até agora se dados de clientes locais foram acessados. Advogados de compliance ouvidos por veículos brasileiros no segundo trimestre têm alertado que o número de comunicações de terceiros a chegar à ANPD deve subir nos próximos meses, à medida que casos como o da EY tornarem público o vetor de shared services.
Para o CIO de qualquer grande auditada, o incidente EY tem consequência prática hoje. Contratos de auditoria e consultoria tributária costumam ter cláusulas de notificação em 24 horas de qualquer intrusão em ambiente do fornecedor que possa expor dados sensíveis. As notificações de julho vão obrigar times legais a exigir prova formal de segregação de plataformas entre firmas Big Four e seus provedores de IT service management, algo que, na maioria dos contratos vigentes, hoje é declarado, não auditado.