A Ernst & Young (EY) começou a notificar clientes sobre uma violação de dados que comprometeu informações fiscais de investidores após o acesso não autorizado a uma plataforma de gerenciamento de serviços de TI usada por seus funcionários. O comunicado da empresa, publicado no dia 13 deste mês, informa que o incidente foi detectado no dia 23 de abril, mas os documentos foram baixados por terceiros entre os dias 28 de março e 12 de abril.
Segundo a EY, a plataforma utilizada por sua equipe de suporte de TI armazena tickets que podem conter documentos com informações tributárias de clientes. Ao identificar atividade anômala na plataforma, a empresa acionou seu protocolo de resposta a incidentes com o apoio de uma consultoria independente de segurança cibernética e também notificou a polícia federal dos Estados Unidos. A investigação concluiu que o acesso foi interrompido e que os sistemas da empresa estão seguros.
Os dados expostos incluem elementos de identificação pessoal e informações financeiras utilizadas na preparação de declarações de imposto de renda. A empresa afirma não ter evidências de uso indevido das informações nem de que os dados tenham sido alvo específico dos atacantes. Mesmo assim, a EY está oferecendo 24 meses de monitoramento de crédito e identidade por meio da Experian, com serviço de restauração de identidade disponível independentemente do cadastro no programa.
A orientação para os afetados inclui a ativação do serviço com código fornecido pela empresa até as 23h59 de 31 de outubro. A EY recomenda ainda que todos os clientes revisem suas contas financeiras, alterem senhas e notifiquem instituições financeiras em caso de atividade suspeita.
Estratégia de resposta e próximos passos
A EY informou que continua monitorando o ambiente em busca de sinais de exposição adicional e que a notificação não foi atrasada por determinação das autoridades. O vice-presidente de ética e conformidade da empresa, Robb J. Canning, assina a carta enviada aos reguladores estaduais, na qual a empresa não revelou o nome do fornecedor da plataforma nem detalhou os tipos exatos de dados vazados.
