Ernst & Young (EY) предупреди, че киберпробив е изложил на риск лична и финансова информация, принадлежаща на лица, свързани с Goldman Sachs и Man Group. Инцидентът е засегнал платформа, използвана за поддръжка на данъчните услуги на EY, а не собствените системи на финансовите компании.
Както първо съобщи Financial Times, последните разкрития разширяват известния обхват на пробива. Писма, изпратени в края на септември, гласят, че неоторизирана трета страна е осъществила достъп до платформата между 28 март и 12 април 2026 г. и е изтеглила документи, свързани с множество клиенти на EY.
Изложената на риск информация включва имена, адреси, данъчни идентификационни номера, имейл адреси и финансови данни. Засегнатите включват клиенти на бизнеса за управление на състоянието (wealth management) на Goldman Sachs и базирания в Обединеното кралство хедж фонд Man Group. Наличните данни не установяват колко точно лица, свързани с двете компании, са засегнати.
Как се е развил пробивът в EY
EY за първи път разкри инцидента през юли и го отдаде на уязвимост в софтуер на Checkmarx. Наличните доклади обаче не посочват конкретен CVE, засегната версия на софтуера или подробен метод на експлоатация. Тези липси ограничават това, което може да се каже към момента за техническата входна точка.
Предишно отражение на Cyber Security News описва засегнатата система като платформа за управление на ИТ услуги на трета страна. ИТ екипът на EY я е използвал за поддръжка на вътрешни екипи, обработващи данъчни казуси, а тикетите за поддръжка са съдържали прикачени файлове с чувствителна данъчна информация на клиенти. Това е поставило клиентските документи в работен процес по поддръжка извън собствените мрежи на клиентите.
EY е открила необичайна активност на 23 април, 11 дни след последния регистриран неоторизиран достъп. Работейки с независима компания за киберсигурност, разследващите са установили, че документите вече са били изтеглени по време на прозореца за достъп през март-април. Закъснението е от значение, тъй като кражбата е извършена преди EY да идентифицира подозрителната активност.
Инцидентът показва как системите за поддръжка могат да се превърнат в път към чувствителни бизнес данни. В този случай достъпът до платформа, съдържаща данъчни документи, е изложил на риск информация, свързана с няколко организации, без да се изисква съобщен пробив в техните вътрешни системи.
От Goldman Sachs съобщиха, че техните системи не са засегнати и че активите на клиентите остават в безопасност. Man Group също потвърди, че нейните системи не са били компрометирани, описвайки инцидента като такъв, засягащ софтуер на трета страна, използван от EY. Тези изявления разграничават излагането на клиентска информация от директна атака срещу която и да е от двете финансови компании.
В писмо от 24 септември Goldman Sachs информира клиентите си, че EY е ангажирала независима фирма за киберсигурност, за да потвърди, че засегнатите системи са защитени. Екипът за технологичен риск на Goldman преразглеждаше тази работа и бе поискал обективни доказателства и проверки от трети страни, показващи, че отстраняването на уязвимостите от EY е ефективно.
Наличните доклади конкретно отдават това искане на Goldman Sachs. Те не установяват Man Group да е направила идентично искане. От EY заявиха, че инцидентът не е засегнал нейните по-широки корпоративни системи и не застрашава текущите бизнес операции, както и че нейният преглед наближава завършване.
EY докладва за пробива на регулаторните органи в Калифорния, Тексас, Масачузетс и Върмонт. Тя предлага на засегнатите лица услуги за кредитен мониторинг и защита на самоличността чрез доставчик на трета страна.
Уведомлението на EY от юли гласи, че няма доказателства изложените данни да са били използвани злонамерено или определени лица да са били нарочно взети под прицел. Това изявление описва констатациите на този етап, а не гаранция срещу последваща злоупотреба.