EY enquête après une faille liée à un système tiers de tickets
Ernst & Young (EY) enquête sur une fuite de données après qu’un système tiers de tickets, utilisé par ses équipes IT pour gérer les documents fiscaux clients, a été compromis par des attaquants. Le 23 avril 2026, EY a détecté une activité suspecte sur la plateforme et engagé une réponse avec des experts externes en cybersécurité. Les enquêteurs ont ensuite révélé qu’un tiers non autorisé avait accédé au système entre le 28 mars et le 12 avril, téléchargeant plusieurs fichiers clients contenant des données personnelles et financières utilisées dans les déclarations fiscales.
Une faille dans la chaîne d’approvisionnement
Cet incident met en lumière les risques persistants liés aux prestataires IT externes, même au sein d’organisations de grande taille et axées sur la sécurité. EY utilise la plateforme compromise pour optimiser le support des équipes travaillant sur des dossiers fiscaux clients, et les tickets de support peuvent inclure des documents sensibles. Bien qu’EY ait sécurisé le système et supprimé les accès non autorisés, la faille souligne comment un seul fournisseur compromis peut exposer d’énormes quantités de données clients.
Peu de détails, mais des mesures proactives
EY n’a pas révélé le nombre de clients affectés ni si des individus spécifiques avaient été ciblés. L’entreprise indique n’avoir aucune preuve d’utilisation frauduleuse à ce jour et propose 24 mois de surveillance d’identité via Experian aux clients concernés. Les autorités ont été informées, et EY collabore avec les régulateurs tout en poursuivant son enquête.
Pourquoi cela compte
Les fuites via des tiers constituent une préoccupation croissante dans les services professionnels, où des cabinets comme EY manipulent des données hautement sensibles. Cet incident montre comment les vulnérabilités de la chaîne d’approvisionnement peuvent fragiliser même les dispositifs de sécurité les plus robustes. Pour les clients, cela renforce l’importance d’examiner attentivement leurs prestataires et de surveiller tout usage abusif des informations exposées. Pour le secteur, cela rappelle qu’il faut prioriser la sécurité de bout en bout, et pas seulement les contrôles internes.
Source : Security Affairs. Synthèse éditoriale assistée par IA — TechnoExpress.