アーンスト・アンド・ヤング、サポートシステムのハッキングを受け、データ漏洩を公表

アーンスト・アンド・ヤングは、同社のIT担当者が利用していたサードパーティ製のサポートチケットシステムが不正アクセスを受けたことに起因するデータ漏洩について、顧客に通知しています。

同社によると、このプラットフォームを通じて提出されたサポートチケットには、顧客の税務情報を含む文書が含まれていた可能性があるとのことです。

アーンスト・アンド・ヤング（EY）は、世界4大監査・プロフェッショナルサービス企業の一つであり、150カ国以上の主要組織に対し、監査、税務、コンサルティング、および取引アドバイザリーサービスを提供している。

同社の従業員数は40万6,000人で、昨年の世界売上高は532億ドルだった。

影響を受けた顧客への情報漏洩通知によると、アーンスト・アンド・ヤングは4月23日に自社のネットワーク上で異常な活動を検知し、調査を開始した。

外部のサイバーセキュリティ専門家の協力を得て、同社は3月28日から4月12日の間に、権限のない第三者が当該プラットフォームにアクセスし、複数の文書をダウンロードしていたことを突き止めました。

流出した情報には、税務申告書に含まれる、あるいはその作成に使用された特定の個人情報および財務データが含まれていた。通知のサンプルには具体的なデータ種別を示すプレースホルダーが記載されているため、流出した情報の種類は依然として不明である。

また、同社は、影響を受けた顧客の正確な数や、このインシデントが米国の顧客のみを対象としているのか、それとも他国にも及んでいるのかについては明らかにしていない。

アーンスト・アンド・ヤングは、システムのセキュリティ対策を講じ、連邦法執行当局に通報したと述べるとともに、不正アクセスは排除されたことを保証している。

また、同社は、盗まれたファイルの悪用やさらなる流出は確認されておらず、特定の個人が攻撃者の標的となったという兆候もないとしている。

この情報漏洩に起因するリスクを軽減するため、EYは影響を受けた顧客に対し、エクスペリアン（Experian）を通じて24ヶ月間の身元監視および復旧サービスを提供しており、通知書の受領者に対し、2026年10月31日までに登録するよう強く促している。

本稿執筆時点では、アーンスト・アンド・ヤングへの攻撃について、データ恐喝やランサムウェアを標榜するグループによる犯行声明は出ていない。

当メディアは本件の詳細を把握するためEYに問い合わせたが、本記事の公開時点ではまだ回答を得られていない。