Ernst & Young(EY)、データ侵害で個人情報・財務情報が流出

大手プロフェッショナルサービス企業のErnst & Young(EY)は、データ侵害により顧客の個人情報および財務情報が流出したとして、クライアントへの通知を開始しました。

この事案は4月23日に発覚したもので、EYがクライアントに代わって行う税務関連業務を支援するために利用しているサードパーティのサービス管理プラットフォームが関係していました。

「本プラットフォームを通じて提出されたサポートチケットには、クライアントの税務情報を含む文書が含まれている場合があります」と、同社はクライアント宛ての通知書に記しています。この通知書の写しは、カリフォルニア州司法長官室に提出(PDF)されています。

EYはプラットフォーム上で異常な活動を確認した後、インシデント対応を発動し、復旧・修復作業に着手しました。また、独立系サイバーセキュリティ企業を起用し、攻撃の性質と範囲について調査を進めています。

同社によると、攻撃者は3月28日から4月12日にかけて、侵害されたプラットフォームにアクセスし、EYのクライアントの文書をダウンロードしていたということです。

これらの文書に含まれていた個人情報・財務情報には、氏名、住所、社会保障番号、口座番号、クレジットカード・デビットカード番号のほか、税務申告書の作成に使用されるその他の情報が含まれていたと、EYはテキサス州司法長官室に伝えています。

同社は、影響を受けたクライアントの個人情報について、悪用や新たな流出は確認されていないとしていますが、対象者に対しては2年間の無料クレジットモニタリング、ID監視、ID復旧サービスを提供するとしています。

EYは攻撃がどのように行われたか、また責任を負う脅威アクターについての詳細は明らかにしておらず、既知のランサムウェアグループや恐喝グループがこの事案への関与を主張した形跡もありません。

SecurityWeekは、このデータ侵害に関する追加情報についてErnst & Youngにメールで問い合わせており、同社から回答があり次第、本記事を更新する予定です。