Załącznik, nad którym nikt się nie zastanowił

Dokument, który wyciekł, załączyła osoba wykonująca swoją pracę poprawnie. Pracowniczka działu podatkowego napotyka błąd uprawnień przy deklaracji klienta, zakłada zgłoszenie do wewnętrznego zespołu IT i dołącza plik, aby analityk mógł odtworzyć usterkę. Zgłoszenie zostaje zamknięte tego samego popołudnia. O załączniku nikt już nigdy nie wspomina.

Ernst & Young ujawniła, że nieuprawniona osoba trzecia uzyskała dostęp do zewnętrznej platformy zarządzania usługami IT, z której korzystają wewnętrzne zespoły IT wspierające praktykę podatkową. Słowami samej EY, zgłoszenia serwisowe składane przez platformę "mogą zawierać dokumenty z informacjami podatkowymi klientów". Zgłoszone kategorie danych obejmują dane osobowe i finansowe zawarte w deklaracjach podatkowych lub wykorzystane do ich przygotowania.

EY podaje, że intruz przebywał w platformie między 28 marca 2026 a 12 kwietnia 2026 roku i pobrał dokumenty dotyczące pewnej liczby klientów EY. Firma oświadcza również, że nie ma wiedzy o jakimkolwiek nadużyciu ani dalszym ujawnieniu objętych sprawą danych osobowych. Oba oświadczenia są w aktach. Uspokaja tylko to drugie.

Dwa tygodnie w środku, jedenaście dni do wykrycia, trzy miesiące do informacji

Daty ważą tu więcej niż technika. Dostęp trwał od 28 marca 2026 do 12 kwietnia 2026 roku. EY wykryła nietypową aktywność 23 kwietnia 2026 roku. Listy powiadamiające poszkodowanych klientów noszą datę 13 lipca 2026 roku, a 15 lipca 2026 roku złożono zawiadomienie u Prokuratora Generalnego Kalifornii. Powiadomiono cztery stany.

To, czego EY nie opublikowała, waży tyle samo. Dostawca platformy nie został wskazany. Początkowy wektor dostępu nie został ujawniony. Nie podano liczby poszkodowanych i nadal nie wiadomo, ilu klientów dotyczy sprawa. Żadna grupa ransomware nie przyznała się do ataku, co usuwa zwykłe publiczne źródło spisu skradzionych plików.

Dla klienta firmy właśnie to połączenie jest najtrudniejsze. Wiesz, że twoje dokumenty mogły zostać przeniesione. Nie wiesz które, nie znasz drogi wejścia i nie możesz niczego sprawdzić samodzielnie, bo dzienniki nigdy nie były u ciebie. Wszystko, co możesz powiedzieć organowi, jest cytatem z cudzych ust.

Helpdesk to repozytorium danych, którego nikt nie zmapował

System, z którego wyciekły dane, nie był platformą podatkową. Była nim kolejka zgłoszeń. To rozróżnienie stanowi całą lekcję i dotyczy firm znacznie mniejszych niż EY.

Pracownicy rutynowo dołączają dokumenty klientów do zgłoszeń serwisowych, ponieważ załączenie pliku to najszybsza droga do usunięcia usterki. W ciągu kilku lat helpdesk po cichu gromadzi niesklasyfikowaną, przechowywaną u dostawcy i utrzymywaną bezterminowo kopię cienia najbardziej wrażliwych materiałów, jakie firma posiada. Nikt tego nie zaprojektował. To produkt uboczny powszechnej chęci pomocy.

Na papierze jest to w dodatku niemal niewidoczne. Platforma ITSM rzadko pojawia się na mapie danych, rzadko figuruje w rejestrze czynności przetwarzania i rzadko uruchamia ocenę skutków, bo nikt nie klasyfikuje helpdesku IT jako miejsca, w którym mieszkają dane klientów. Platforma podatkowa dostaje przegląd szyfrowania, recertyfikację uprawnień i politykę retencji. Kolejka trzymająca kopie tych samych dokumentów dostaje odnowienie licencji.

Twój termin 72 godzin rusza wtedy, gdy zdecyduje podmiot przetwarzający

Opóźnienie powiadomienia po stronie podmiotu przetwarzającego odejmuje się wprost od twojego okna zgodności. Zgodnie z RODO obowiązek zgłoszenia w ciągu 72 godzin biegnie od chwili, w której administrator poweźmie wiadomość o naruszeniu. Jeśli podmiot trzymający twoje dane potrzebuje prawie trzech miesięcy, aby do ciebie dotrzeć, twój termin rusza prawie trzy miesiące po tym, jak atakujący skończył.

Przyłóż to do tych dat. Wykrycie 23 kwietnia 2026 roku, listy do klientów z 13 lipca 2026 roku. Firma, która otrzymuje taki list, w połowie lipca otwiera własną rozmowę z UODO o pobraniach z końca marca, bez własnej telemetrii, bez wskazanego dostawcy i bez zakresu ujawnienia, który mogłaby opisać.

Organom nadzorczym nie jest obojętne, kto spowodował opóźnienie, a administrator, który działał niezwłocznie na podstawie posiadanych informacji, ma pozycję możliwą do obrony. Praktyka i tak pozostaje kiepska: tłumaczysz lukę, której nie stworzyłeś, faktami, których nie możesz zweryfikować, przed organem, który słusznie zapyta, dlaczego twoja umowa w ogóle takie opóźnienie dopuszczała.

Trzy zmiany, które warto wprowadzić przed kolejnym audytem

Zacznij od ustalenia, co naprawdę zawiera twoja kolejka zgłoszeń. Wyeksportuj rok załączników w podziale na typy plików i zrób próbkowanie. Większość firm, które przeprowadzają to ćwiczenie, znajduje pliki płacowe, dokumenty tożsamości, podpisane umowy i podatkowe papiery robocze w zamkniętych zgłoszeniach rozwiązanych i zapomnianych przed laty.

Następnie ustaw retencję. Załączniki w rozwiązanych zgłoszeniach powinny wygasać według określonego harmonogramu i być usuwane automatycznie, a wartość domyślna powinna być mierzona w tygodniach. Tam, gdzie odtworzenie usterki naprawdę wymaga danych klienta, proces powinien kierować pracowników do kontrolowanej lokalizacji zamiast do treści zgłoszenia, a platforma powinna umieć tę różnicę wykazać.

Na koniec przeczytaj umowę z dostawcą właśnie pod kątem tego scenariusza. Sprawdź, czy zdefiniowany zakres danych chronionych obejmuje treść zgłoszeń i załączniki, a nie tylko główne rejestry dostawcy. Sprawdź, czy obowiązek powiadomienia wyrażono w godzinach od powzięcia wiadomości przez dostawcę. Sprawdź, czy przysługują ci szczegóły techniczne, w tym wektor dostępu, których będziesz potrzebować przed własnym organem.

Czytaj dalej: 570 poprawek Windows w jeden dzień, dwie już wykorzystywane  |  Wymieńcie każdy sekret, który Grok Build kiedykolwiek zobaczył