- アーンスト・アンド・ヤング(EY)は、サードパーティ製ITサービス管理プラットフォーム経由での侵害を確認しており、2026年3月28日から4月12日にかけてクライアントの税務データが露出しました
- 攻撃者は税務サポートのチケットに紐づく文書にアクセスしましたが、正確な範囲や影響を受けたクライアントは現時点で公表されておらず、ダークウェブへの流出やハッカー集団による犯行声明も確認されていません
- EYはインシデント対応を発動してシステムを保護し、影響を受けた顧客に対してExperianによる24カ月間のID監視サービスを提供しています
アーンスト・アンド・ヤング(EY)は、税務データを含む機密性の高い顧客情報が流出するサイバー攻撃を受けたことを認めました。
同社が影響を受けた個人に送付したデータ侵害通知書によると、2026年4月23日、ITチームが利用するサードパーティ製プラットフォーム内で「異常な活動」を検知したとのことです。このプラットフォームはITサービス管理システムであり、EYの担当者がクライアント向けの税務関連業務を行うチームを支援する際に使用しています。そのため、このプラットフォームを通じて提出されるチケットには、クライアントの税務情報を含む文書が添付されている場合があり、今回のインシデントで露出した可能性があります。
EYはその後インシデント対応プロトコルを発動し、サードパーティのサイバーセキュリティ専門家を招集するとともに、関係当局および影響を受けたクライアントへの通知を行いました。
無償のID盗難保護サービス
その後の調査により、身元不明の脅威アクターが2026年3月28日に侵入し、4月12日までファイルの窃取を続けていたことが判明しました。EYは、具体的にどの情報が流出したのか、また何人のクライアントが影響を受けたのかについては明らかにしていません。米国内のクライアントのみが対象なのか、海外のクライアントも含まれるのかについても不明です。同社の説明によると、攻撃者はその後EYの仮想環境から排除され、システムはすでに保護された状態にあるとのことです。
これまでのところ、この攻撃について犯行声明を出したハッキング集団はなく、データがダークウェブ上に出回った形跡も確認されていません。EYの顧客は、特に同社を名乗る不審な迷惑メールに注意する必要があります。
顧客の安全確保を支援するため、EYはExperianを通じて24カ月間の無償ID監視・復旧サービスを提供しています。
アーンスト・アンド・ヤングは、世界最大級の専門サービス・会計ネットワークである「ビッグ4」の一角です。本社はロンドンにありますが、150カ国以上に展開する独立系メンバーファームによるグローバルネットワークとして運営されており、従業員数は40万人を超えます。同社の中核事業には、保証業務、税務、コンサルティング、M&A戦略が含まれます。
