Bilagan som ingen stannade upp inför
Dokumentet som läckte bifogades av någon som skötte sitt jobb korrekt. En skattemedarbetare stöter på ett behörighetsfel i en kunds deklaration, öppnar ett ärende hos det interna IT-teamet och bifogar filen så att analytikern kan återskapa felet. Ärendet stängs samma eftermiddag. Bilagan nämner ingen igen.
Ernst & Young har uppgett att en obehörig tredje part fick åtkomst till en extern plattform för IT service management som företagets interna IT-team använder som stöd för skatteverksamheten. Med EY:s egna ord kan supportärenden som skickas via plattformen "innehålla dokument med skatteinformation om kunder". De rapporterade datatyperna omfattar person- och finansuppgifter som finns i skattedeklarationer eller har använts för att upprätta dem.
EY uppger att intrångsaktören fanns i plattformen mellan den 28 mars 2026 och den 12 april 2026 och laddade ned dokument som rör ett antal av EY:s kunder. Företaget uppger också att det inte känner till något missbruk eller någon ytterligare exponering av de berörda personuppgifterna. Båda uppgifterna finns på pränt. Bara den andra lugnar.
Två veckor inne, elva dagar till upptäckt, tre månader till besked
Datumen väger tyngre än tekniken här. Åtkomsten pågick från den 28 mars 2026 till den 12 april 2026. EY upptäckte avvikande aktivitet den 23 april 2026. Underrättelsebreven till berörda kunder är daterade den 13 juli 2026 och en anmälan lämnades till Kaliforniens justitieminister den 15 juli 2026. Fyra delstater underrättades.
Det EY inte har offentliggjort väger lika tungt. Leverantören bakom plattformen har inte namngetts. Den initiala åtkomstvägen har inte redovisats. Något antal drabbade har inte angetts och det är fortfarande oklart hur många kunder som berörs. Ingen utpressningsgrupp har tagit på sig attacken, vilket tar bort den vanliga offentliga källan till en förteckning över stulna filer.
För en kund hos företaget är just den kombinationen det svåra. Ni vet att era dokument kan ha flyttats. Ni vet inte vilka, ni känner inte till ingångsvägen och ni kan inte kontrollera något självständigt eftersom loggarna aldrig fanns hos er. Allt ni kan säga till en tillsynsmyndighet är ett citat från någon annan.
Supportfunktionen är ett datalager som ingen har kartlagt
Systemet som läckte var inte skatteplattformen. Det var ärendekön. Den skillnaden är hela lärdomen och den gäller företag som är långt mindre än EY.
Medarbetare bifogar kunddokument till supportärenden av ren rutin, eftersom bilagan är snabbaste vägen till att felet blir löst. På några få år bygger supportfunktionen tyst upp en oklassificerad skuggkopia av det känsligaste material företaget har, förvarad hos leverantören och sparad utan tidsgräns. Ingen har utformat det. Det är en biprodukt av att alla vill hjälpa till.
Det är dessutom nästan osynligt på papperet. ITSM-plattformen syns sällan på en datakarta, sällan i registret över behandling och utlöser sällan en konsekvensbedömning, eftersom ingen klassar IT-supporten som en plats där kunddata bor. Skatteplattformen får krypteringsgranskningen, omcertifieringen av behörigheter och en gallringspolicy. Kön med kopior av samma dokument får en licensförnyelse.
Er 72-timmarsfrist startar när ert personuppgiftsbiträde bestämmer
Ett biträdes fördröjning dras direkt från ert eget efterlevnadsfönster. Enligt dataskyddsförordningen löper den personuppgiftsansvariges 72-timmarsplikt från den tidpunkt då den ansvarige får kännedom om incidenten. Om den part som håller era uppgifter tar nästan tre månader på sig att nå er, startar er frist nästan tre månader efter att angriparen var klar.
Lägg det på dessa datum. Upptäckt den 23 april 2026, kundbrev daterade den 13 juli 2026. Ett företag som får det brevet inleder i mitten av juli sitt samtal med IMY om nedladdningar som skedde i slutet av mars, utan egen telemetri, utan namngiven leverantör och utan någon omfattning av exponering att beskriva.
Tillsynsmyndigheter är inte likgiltiga inför vem som orsakade fördröjningen, och en ansvarig som agerade skyndsamt på den information som fanns står försvarbart. Den praktiska upplevelsen är ändå dålig: ni förklarar ett glapp ni inte skapat, med fakta ni inte kan kontrollera, inför en myndighet som med rätta frågar varför ert avtal tillät fördröjningen.
Tre ändringar som lönar sig före nästa revisionscykel
Börja med att ta reda på vad er ärendekö faktiskt innehåller. Exportera ett års bilagor per filtyp och gör stickprov. De flesta företag som gör övningen hittar lönefiler, identitetshandlingar, undertecknade avtal och skatterelaterade arbetspapper i stängda ärenden som löstes och glömdes för år sedan.
Sätt sedan lagringstiden. Bilagor på lösta ärenden bör förfalla enligt ett fastställt schema och gallras automatiskt, och standardvärdet bör mätas i veckor. Där återskapandet av ett fel verkligen kräver kunddata bör flödet leda medarbetarna till en kontrollerad plats i stället för till ärendetexten, och plattformen bör kunna visa skillnaden.
Läs slutligen leverantörsavtalet just mot detta scenario. Kontrollera att omfattningen av skyddade uppgifter täcker ärendetexter och bilagor och inte bara leverantörens huvudregister. Kontrollera att underrättelseplikten uttrycks i timmar från leverantörens kännedom. Kontrollera att ni har rätt till de tekniska detaljerna, inklusive åtkomstvägen, som ni behöver inför er egen myndighet.
Läs vidare: 570 Windows-rättningar på en dag, två utnyttjas redan | Byt ut varje hemlighet som Grok Build någonsin har sett
