La pièce jointe à laquelle personne n'a réfléchi
Le document qui a fuité a été joint par quelqu'un qui faisait correctement son travail. Une collaboratrice fiscale se heurte à une erreur de droits sur la déclaration d'un client, ouvre un ticket auprès de l'équipe informatique interne et joint le fichier pour que l'analyste puisse reproduire le défaut. Le ticket est clos le même après-midi. Plus personne ne reparle de la pièce jointe.
Ernst & Young a révélé qu'un tiers non autorisé a accédé à une plateforme externe de gestion des services informatiques utilisée par ses équipes internes pour soutenir son activité fiscale. Selon les mots d'EY, les tickets d'assistance déposés via la plateforme "peuvent inclure des documents contenant des informations fiscales de clients". Les catégories de données signalées comprennent des données personnelles et financières figurant dans des déclarations fiscales ou servant à les préparer.
EY indique que l'intrus s'est trouvé dans la plateforme entre le 28 mars 2026 et le 12 avril 2026 et a téléchargé des documents concernant un certain nombre de clients d'EY. Le cabinet déclare également n'avoir connaissance d'aucun usage abusif ni d'aucune exposition supplémentaire des informations personnelles concernées. Les deux déclarations sont au dossier. Seule la seconde rassure.
Deux semaines dedans, onze jours pour le voir, trois mois pour le dire
Ce sont les dates qui pèsent, plus que la technique. L'accès court du 28 mars 2026 au 12 avril 2026. EY a identifié une activité anormale le 23 avril 2026. Les lettres de notification aux clients concernés sont datées du 13 juillet 2026 et un dépôt a été effectué auprès du procureur général de Californie le 15 juillet 2026. Quatre États ont été notifiés.
Ce qu'EY n'a pas publié compte tout autant. Le fournisseur de la plateforme n'a pas été nommé. Le vecteur d'accès initial n'a pas été divulgué. Aucun nombre de victimes n'a été donné et le nombre de clients concernés reste incertain. Aucun groupe de rançongiciel n'a revendiqué l'attaque, ce qui supprime la source publique habituelle d'un inventaire des fichiers dérobés.
Pour un client du cabinet, c'est précisément cette combinaison qui pose problème. Vous savez que vos documents ont pu bouger. Vous ignorez lesquels, vous ignorez la voie d'entrée et vous ne pouvez rien vérifier de façon indépendante puisque les journaux n'ont jamais été chez vous. Tout ce que vous pouvez dire à une autorité est une citation d'un tiers.
Le support est un stockage de données que personne n'a cartographié
Le système qui a fuité n'était pas la plateforme fiscale. C'était la file de tickets. Cette distinction est toute la leçon et elle vaut pour des cabinets bien plus petits qu'EY.
Les équipes joignent des documents clients aux tickets par habitude, parce que joindre le fichier est le chemin le plus rapide vers la correction du défaut. En quelques années, le support accumule discrètement une copie fantôme, non classifiée, détenue par le fournisseur et conservée sans limite, du matériel le plus sensible que détient le cabinet. Personne ne l'a conçue. C'est un sous-produit de la bonne volonté générale.
Elle est aussi presque toujours invisible sur le papier. La plateforme ITSM apparaît rarement sur une cartographie des données, rarement dans un registre des activités de traitement et déclenche rarement une analyse d'impact, parce que personne ne classe le support informatique comme un lieu où résident des données clients. La plateforme fiscale obtient la revue de chiffrement, la recertification des accès et une durée de conservation. La file qui garde des copies des mêmes documents obtient un renouvellement de licence.
Votre délai de 72 heures démarre quand votre sous-traitant le décide
Le retard de notification d'un sous-traitant se déduit directement de votre propre fenêtre de conformité. Selon le RGPD, l'obligation de notifier sous 72 heures court à partir du moment où le responsable de traitement a connaissance de la violation. Si celui qui détient vos données met près de trois mois à vous prévenir, votre délai démarre près de trois mois après le départ de l'attaquant.
Appliquez cela à ces dates. Détection le 23 avril 2026, lettres aux clients du 13 juillet 2026. Un cabinet qui reçoit cette lettre ouvre à la mi-juillet sa discussion avec la CNIL au sujet de téléchargements survenus fin mars, sans télémétrie propre, sans fournisseur nommé et sans périmètre d'exposition à décrire.
Les autorités ne sont pas indifférentes à l'origine du retard, et un responsable de traitement qui a agi rapidement sur la base des informations disponibles est en position défendable. L'expérience pratique reste mauvaise: vous expliquez un vide que vous n'avez pas créé, avec des faits que vous ne pouvez pas vérifier, devant une autorité qui demandera à juste titre pourquoi votre contrat autorisait ce délai.
Trois changements utiles avant le prochain cycle d'audit
Commencez par savoir ce que contient réellement votre file de tickets. Exportez une année de pièces jointes par type de fichier et échantillonnez-les. La plupart des cabinets qui font cet exercice découvrent des fichiers de paie, des pièces d'identité, des contrats signés et des dossiers de travail fiscaux dans des tickets clos, traités et oubliés depuis des années.
Fixez ensuite la conservation. Les pièces jointes des tickets résolus doivent expirer selon un calendrier défini et être purgées automatiquement, et la valeur par défaut doit se mesurer en semaines. Lorsque reproduire un défaut exige réellement des données clients, le processus doit orienter les équipes vers un emplacement contrôlé plutôt que vers le corps du ticket, et la plateforme doit pouvoir prouver cette différence.
Enfin, relisez le contrat fournisseur précisément face à ce scénario. Vérifiez que le périmètre des données protégées couvre les corps de tickets et les pièces jointes, et pas uniquement les enregistrements centraux du fournisseur. Vérifiez que l'obligation de notification est exprimée en heures à compter de la connaissance du fournisseur. Vérifiez que vous avez droit au détail forensique, y compris le vecteur d'accès, dont vous aurez besoin devant votre propre autorité.
À lire ensuite: 570 correctifs Windows en un jour, deux déjà exploités | Renouvelez tous les secrets que Grok Build a jamais vus
