EYデータ漏洩事件 ― ハッカーがサードパーティITサポートプラットフォームに侵入し、顧客の税務書類を窃取

アーンスト・アンド・ヤング(EY)は、税務部門が利用するサードパーティのITサービス管理プラットフォームに第三者が不正アクセスし、顧客の個人情報や財務情報を含む書類が窃取されるデータセキュリティインシデントが発生したことを確認しました。

SecurityProducts & Services

ビッグフォーの一角であるEYは、2026年7月15日にカリフォルニア州司法長官事務所に正式な侵害通知を提出し、2026年7月13日付で影響を受けた顧客への個別通知書の郵送を開始しました。

EYは、社内IT部門が顧客企業向けの税務関連業務を支援する際、サードパーティ製のITサービス管理プラットフォームを利用しています。

EYデータ漏洩事件

このプラットフォームを通じて提出されるサポートチケットには、機密性の高い顧客の税務書類が添付ファイルとして日常的に含まれており、これはエンタープライズITサポート業務でよく見られる、しかしリスクの高い運用形態でした。

EYの情報セキュリティチームは2026年4月23日、プラットフォーム内で異常な活動を初めて検知し、直ちにインシデント対応手続きを発動して被害範囲の特定、侵入の封じ込め、復旧作業に着手しました。

独立系サイバーセキュリティ企業と共同で調査を進めた結果、実際の不正アクセスはそれより数週間早く、2026年3月28日から2026年4月12日の間に始まっていたことが判明しました。つまり攻撃者は、EYが4月23日に侵害を発見するまでの約2週間、プラットフォーム内で検知されることなく活動していたことになります。

この検知までの空白期間により、脅威アクターは多数のEY顧客に関するサポートチケットの書類を閲覧・窃取するための十分な時間を得ていました。

今回窃取された情報には、機関投資家向けEY顧客の投資保有状況に紐づく個人情報のほか、税務申告書に含まれる、または申告書作成に使用された財務情報が含まれます。

具体的なデータ項目は通知対象者ごとに異なるため、EYの通知書では社会保障番号のような特定カテゴリーについてプレースホルダー形式が用いられていますが、個人識別情報と税務申告関連の財務データの両方が関与したことは通知書内で確認されています。

ロードアイランド州への開示によれば、今回の事案で影響を受けた対象者は比較的限定的で、同州が受け取った通知ではわずか7名の住民が影響を受けたとされており、被害者の範囲は広範ではあるものの無差別に大規模というわけではないことがうかがえます。

侵害の発覚後、EYはシステムの保全を行い、外部専門家とともにフォレンジック調査を開始するとともに、連邦法執行機関へ通報しました。

EYによれば、不正アクセスはすでに停止しており、影響を受けたシステムは現在安全な状態にあり、データが悪用された証拠や特定個人が標的とされた証拠も見つかっていないとのことです。

是正措置として、EYは影響を受けた個人に対し、Experian IdentityWorksによる24か月間の無償クレジット・アイデンティティ監視サービスとID復旧サービスを提供しており、登録期限は2026年10月31日となっています。これはEYにとって、約9か月の間に2度目となる大規模なデータ露出事件です。

2025年10月下旬には、Neo Securityの研究者らが4TBのSQL Serverバックアップファイルが公開状態になっているのを発見しています。これはMicrosoft Azure Storage上でクラウド移行時の設定ミスにより誰でもアクセスできる状態になっていたもので、EYはこの露出はEYイタリアが買収した事業体に限定されたものであり、顧客システムやグローバルシステムには影響していないとしていました。

これに対し今回の事件は、設定ミスではなく、確認された第三者による不正アクセスとデータのダウンロードを伴うものであり、EYの機関投資家向け顧客基盤全体にわたる顧客の税務記録に直接関わる点で異なります。

今回の事件は、企業が抱える根深いリスクを浮き彫りにしています。トラブルシューティングのために顧客の添付ファイルを取り込むサポートチケットシステムは、往々にして事実上の機密データ保管庫と化しているにもかかわらず、基幹の財務システムと同等のセキュリティ精査を受けていないケースが多いのです。

SecurityProducts & Services

 脅威検知と迅速な調査を加速し、SOCを強化。 -> ANY.RUNをあなたのSOCに統合する 今すぐ。