Vedhæftningen, som ingen tænkte over
Dokumentet, der slap ud, blev vedhæftet af en, der gjorde sit arbejde korrekt. En skattemedarbejder rammer en rettighedsfejl på en kundes selvangivelse, opretter en sag hos det interne IT-team og vedhæfter filen, så analytikeren kan gentage fejlen. Sagen lukkes samme eftermiddag. Vedhæftningen taler ingen om igen.
Ernst & Young har oplyst, at en uautoriseret tredjepart fik adgang til en ekstern IT service management-platform, som firmaets interne IT-teams bruger til at understøtte skattepraksissen. Med EY's egne ord kan supportsager indsendt via platformen "indeholde dokumenter med skatteoplysninger om kunder". De oplyste datatyper omfatter person- og finansoplysninger, der indgår i skatteangivelser eller er brugt til at udarbejde dem.
EY oplyser, at indtrængeren var i platformen mellem den 28. marts 2026 og den 12. april 2026 og hentede dokumenter vedrørende en række af EY's kunder. Firmaet oplyser også, at det ikke er bekendt med misbrug eller yderligere eksponering af de berørte personoplysninger. Begge udsagn står i sagen. Kun det andet beroliger.
To uger inde, elleve dage til opdagelse, tre måneder til besked
Datoerne vejer tungere end teknikken her. Adgangen løb fra den 28. marts 2026 til den 12. april 2026. EY konstaterede afvigende aktivitet den 23. april 2026. Underretningsbrevene til berørte kunder er dateret den 13. juli 2026, og der blev indgivet en anmeldelse til Californiens justitsminister den 15. juli 2026. Fire delstater blev underrettet.
Det, EY ikke har offentliggjort, vejer lige så tungt. Leverandøren bag platformen er ikke nævnt. Den oprindelige adgangsvej er ikke oplyst. Der er ikke angivet et antal berørte, og det er fortsat uklart, hvor mange kunder der er ramt. Ingen ransomwaregruppe har taget ansvaret, hvilket fjerner den sædvanlige offentlige kilde til en oversigt over stjålne filer.
For en kunde hos firmaet er netop den kombination det svære. I ved, at jeres dokumenter kan være flyttet. I ved ikke hvilke, I kender ikke indgangsvejen, og I kan ikke efterprøve noget selvstændigt, fordi loggene aldrig lå hos jer. Alt, hvad I kan sige til en tilsynsmyndighed, er et citat fra en anden.
Supportfunktionen er et datalager, ingen har kortlagt
Systemet, der lækkede, var ikke skatteplatformen. Det var sagskøen. Den skelnen er hele læren, og den gælder for virksomheder, der er langt mindre end EY.
Medarbejdere vedhæfter kundedokumenter til supportsager af ren rutine, fordi vedhæftningen er den hurtigste vej til at få fejlen løst. På få år opbygger supportfunktionen stille en uklassificeret skyggekopi af det mest følsomme materiale, virksomheden har, opbevaret hos leverandøren og gemt uden tidsgrænse. Ingen har designet det. Det er et biprodukt af, at alle vil hjælpe.
Det er også næsten usynligt på papiret. ITSM-platformen optræder sjældent på et datakort, sjældent i fortegnelsen over behandlingsaktiviteter og udløser sjældent en konsekvensanalyse, fordi ingen betragter IT-supporten som et sted, hvor kundedata bor. Skatteplatformen får krypteringsgennemgang, recertificering af adgange og en opbevaringspolitik. Køen med kopier af de samme dokumenter får en licensfornyelse.
Jeres 72-timers frist starter, når jeres databehandler bestemmer det
En databehandlers forsinkelse trækkes direkte fra jeres eget efterlevelsesvindue. Efter databeskyttelsesforordningen løber den dataansvarliges 72-timers underretningspligt fra det tidspunkt, hvor den dataansvarlige bliver bekendt med bruddet. Bruger den part, der har jeres data, næsten tre måneder på at nå frem til jer, starter jeres frist næsten tre måneder efter, at angriberen var færdig.
Læg det oven på disse datoer. Opdagelse den 23. april 2026, kundebreve dateret den 13. juli 2026. En virksomhed, der modtager det brev, åbner midt i juli sin samtale med Datatilsynet om downloads fra slutningen af marts, uden egen telemetri, uden navngiven leverandør og uden et omfang af eksponering at beskrive.
Tilsynsmyndigheder er ikke ligeglade med, hvem der forårsagede forsinkelsen, og en dataansvarlig, der handlede hurtigt på de oplysninger, der forelå, står forsvarligt. Den praktiske oplevelse er alligevel dårlig: I forklarer et hul, I ikke har skabt, med fakta, I ikke kan efterprøve, over for en myndighed, der med rette spørger, hvorfor jeres kontrakt tillod forsinkelsen.
Tre ændringer der betaler sig inden næste revisionscyklus
Start med at finde ud af, hvad jeres sagskø faktisk indeholder. Eksportér et års vedhæftninger fordelt på filtype, og tag stikprøver. De fleste virksomheder, der laver øvelsen, finder lønfiler, identitetsdokumenter, underskrevne kontrakter og skattearbejdspapirer i lukkede sager, der blev løst og glemt for år tilbage.
Sæt derefter opbevaringen. Vedhæftninger på løste sager bør udløbe efter en fast plan og slettes automatisk, og standarden bør måles i uger. Hvor gengivelse af en fejl reelt kræver kundedata, bør arbejdsgangen henvise medarbejderne til en kontrolleret placering frem for selve sagen, og platformen bør kunne dokumentere forskellen.
Læs til sidst leverandørkontrakten netop op imod dette scenarie. Bekræft, at omfanget af beskyttede data dækker sagstekster og vedhæftninger og ikke kun leverandørens kerneregistre. Bekræft, at underretningspligten er udtrykt i timer fra leverandørens kendskab. Bekræft, at I har krav på de tekniske detaljer, herunder adgangsvejen, som I får brug for over for jeres egen myndighed.
Læs videre: 570 Windows-rettelser på én dag, to udnyttes allerede | Udskift hver eneste hemmelighed, Grok Build nogensinde har set
