Ernst & Young (EY) ha confermato di aver subito un cyberattacco che ha comportato la sottrazione di informazioni sensibili appartenenti ai clienti, compresi potenziali dati fiscali. La violazione ha interessato una piattaforma di terze parti utilizzata dal team informatico della società per fornire assistenza ai gruppi impegnati nelle attività tributarie. Nei ticket gestiti attraverso il sistema potevano essere allegati anche documenti fiscali dei clienti, alcuni dei quali potrebbero essere stati esposti.
L'attività anomala è stata individuata da EY il 23 aprile 2026. Le verifiche successive hanno però ricostruito una presenza precedente degli aggressori: gli attori, la cui identità non è stata resa nota, sarebbero entrati nell'ambiente il 28 marzo 2026 e avrebbero continuato a esfiltrare file fino al 12 aprile. La sequenza temporale indica quindi che l'accesso non autorizzato era terminato diversi giorni prima che l'anomalia venisse rilevata.
Il sistema coinvolto è una piattaforma di IT service management, impiegata per organizzare e risolvere le richieste di supporto interne. In un contesto professionale come quello di EY, i ticket possono contenere non soltanto descrizioni tecniche, ma anche allegati necessari a esaminare problemi relativi al lavoro svolto per i clienti. È questo passaggio operativo ad aver creato la possibilità che documenti con informazioni tributarie finissero tra i file raggiunti dagli attaccanti.
Dopo la scoperta, EY ha attivato i propri protocolli di risposta agli incidenti e coinvolto esperti esterni di cybersecurity. La società ha inoltre informato le autorità competenti, i clienti interessati e le persone raggiunte dalla comunicazione sulla violazione. Gli aggressori sono stati rimossi dagli ambienti virtuali dell'organizzazione e i sistemi coinvolti sono stati messi in sicurezza, secondo quanto confermato dall'azienda.
Restano tuttavia aperti diversi interrogativi sull'estensione dell'incidente. EY non ha precisato quali informazioni siano state effettivamente sottratte, né ha comunicato il numero dei clienti coinvolti. Non è stato chiarito neppure se l'esposizione riguardi soltanto clienti degli Stati Uniti o anche soggetti presenti in altri Paesi. Finora nessun gruppo di hacker ha rivendicato l'attacco e i dati non risultano comparsi nel dark web.
Per i clienti, il rischio immediato riguarda soprattutto l'uso delle informazioni sottratte in campagne di ingegneria sociale. EY ha invitato a prestare attenzione alle email non richieste, in particolare ai messaggi che dichiarano di provenire dalla stessa organizzazione. Documenti tributari e dati associati a rapporti professionali possono rendere più credibili tentativi di impersonificazione o contatti fraudolenti, anche quando il contenuto completo dei file esfiltrati non è ancora conosciuto.
Come misura di tutela, EY offre alle persone interessate 24 mesi gratuiti di servizi di monitoraggio dell'identità e assistenza al ripristino attraverso Experian. L'incidente coinvolge una delle cosiddette Big Four, una rete globale di società indipendenti attiva in oltre 150 Paesi e con più di 400.000 dipendenti. Il caso mostra quanto anche una piattaforma di supporto possa diventare un punto delicato quando nei flussi tecnici transitano documenti riservati dei clienti.