Ernst & Young (EY), jedna ze čtyř největších auditorských a poradenských firem na světě, oznámila v červenci 2026 únik dat týkající se daňových dokumentů klientů. Za incidentem nestojí útok na samotnou infrastrukturu EY, ale kompromitace externí platformy pro IT podporu. Případ je učebnicovou ukázkou rizika, které s sebou nese spoléhání na dodavatele třetích stran.
Co se přesně stalo
Podle oznámení zaslaného klientům a podaného u California Department of Justice získal neoprávněný útočník přístup k platformě pro správu IT služeb (IT service management), kterou EY používá k podpoře týmů pracujících na daňových zakázkách klientů.
Support tickety zadávané přes tuto platformu běžně obsahovaly přílohy s citlivými daňovými údaji klientů. Jde o běžnou, ale rizikovou praxi v podnikových IT support workflow, kdy se citlivá data hromadí v systémech, které pro jejich dlouhodobé uchovávání nikdy nebyly navržené.
Časová osa incidentu
- 28. březen až 12. duben 2026 – neoprávněný přístup k platformě, stahování dokumentů klientů
- 23. duben 2026 – EY zaznamenalo anomální aktivitu a spustilo interní vyšetřování
- 15. červen 2026 – první veřejně dohledatelná notifikace, týkající se klienta Easterly Government Properties
- 13. červenec 2026 – EY zahájilo rozesílání notifikačních dopisů postiženým fyzickým osobám
- 15. červenec 2026 – podání breach notifikace u California Attorney General
Mezi kompromitací systému a jejím odhalením uplynuly téměř tři týdny. Firma spolupracovala s nezávislou kybernetickou bezpečnostní společností na vyšetření rozsahu incidentu a informovala i federální orgány činné v trestním řízení.
Jaká data unikla
Exponovaná data zahrnují osobní a finanční informace obsažené v dokumentech používaných k přípravě daňových přiznání. EY nezveřejnilo přesný počet postižených osob ani to, zda se incident týká pouze klientů v USA.
Konkrétnější obrázek nabízí případ Easterly Government Properties, americké realitní společnosti pronajímající nemovitosti vládním agenturám, která je klientem EY pro daňové služby. Podle notifikace zaslané Massachusetts Office of Consumer Affairs zahrnoval únik u tohoto klienta jména, poštovní adresy, rodná čísla, zdanitelný příjem a poznámky k účetním výkazům.
EY nabízí identity monitoring, viník zatím neznámý
EY poskytuje postiženým osobám 24 měsíců monitoringu identity a asistenčních služeb prostřednictvím Experian IdentityWorks, s termínem pro zapojení do 31. října 2026. Easterly Government Properties nabídla svým postiženým klientům obdobnou službu přes Epiq.
Firma uvádí, že nemá žádné důkazy o zneužití unikených dat ani indicie, že by útok cílil na konkrétní jednotlivce. K incidentu se zatím nepřihlásila žádná ransomwarová nebo vyděračská skupina, což naznačuje spíše tichou exfiltraci dat než klasický ransomwarový útok s vydíráním. Jméno kompromitovaného dodavatele IT service management platformy EY nezveřejnilo.
Third-party riziko jako opakující se vzorec
Případ EY není izolovaný. V dubnu 2026 skupina Everest tvrdila, že ukradla až 3,65 milionu záznamů od bank Citizens Bank a Frost Bank, přičemž obě banky uvedly, že jejich vlastní síť kompromitována nebyla. Data byla odcizena od sdíleného dodavatele zpracovávajícího výpisy a daňové dokumenty.
Regulace jako GLBA Safeguards Rule v USA nebo DORA v Evropské unii přitom staví odpovědnost za ochranu dat klientů na finanční instituci samotné, bez ohledu na to, kde přesně k úniku došlo. Stejná logika platí i v žalobách: žalovanou stranou bývá firma, která si dodavatele vybrala a měla nad ním dohlížet, nikoliv dodavatel samotný.
EY navíc není v problematice zabezpečení dat nováčkem. Firma figurovala mezi oběťmi masivního hacku MOVEit v roce 2023 pod útoky skupiny Cl0p a v souvislosti s tím přiznala expozici dat přes 30 000 klientů Bank of America, včetně čísel platebních karet. V říjnu 2025 pak bezpečnostní výzkumníci upozornili na veřejně přístupný 4TB SQL Server backup uložený na Microsoft Azure, patřící EY.
Proč na tom záleží
Únik dat u EY ukazuje dvě věci, které by neměla ignorovat žádná organizace spravující citlivá data klientů. První je riziko support systémů a ticketovacích platforem, kde se běžně hromadí přílohy s citlivými informacemi, aniž by na ně byla uplatňována stejná úroveň zabezpečení a retence jako na primární datová úložiště. Druhá je otázka časování komunikace: EY o incidentu informovalo firemní klienty (jako Easterly) už v červnu, zatímco plošná notifikace koncových fyzických osob přišla až o měsíc později v červenci. Rozdíl mezi B2B a B2C notifikací může mít v podobných případech reálný dopad na to, jak rychle se dotčení lidé dozví o riziku a stihnou si ochránit identitu.
Zdroje
- Cybernews: Ernst & Young vendor exposes sensitive client tax records, company says
- BleepingComputer: Ernst & Young discloses data breach after support system hack
- CyberInsider: EY says client tax data exposed in third-party IT software breach
- Cybersecurity News: EY Data Breach – Hackers Gain Access to IT Support System and Download Documents
- The CyberSec Guru: EY Data Breach 2026: Client Tax Information Exposed in Third-Party Hack
- Class Action U: Ernst & Young Data Breach Lawsuit
- UpGuard: Easterly Government Properties data breach exposes Social Security numbers and tax data
- Rankiteo: Easterly Properties Data Breach: Social Security Numbers Exposed
- ClaimDepot: Easterly Government Properties Data Breach
- Cybelesoft: Citizens/Frost Breach: 3.65M Records via One Vendor
- Security Affairs: Ernst & Young Exposes 4TB SQL Server Backup Publicly on Microsoft Azure
- EY notifikační dopis (California DOJ): oag.ca.gov
