EY, i dati fiscali dei clienti e il sistema di ticket di un fornitore: cosa è confermato e cosa no

Due storie sovrapposte

Quando un gruppo di estorsione mette il nome di un'azienda sul proprio sito, nasce un problema di lettura che riguarda chiunque scriva o legga di sicurezza: ci sono due storie sovrapposte, e quasi sempre vengono raccontate come una sola. La prima è quello che l'azienda ha comunicato per iscritto e sotto la propria responsabilità. La seconda è quello che gli attaccanti dicono di avere. Le due possono coincidere, ma finché non coincidono la differenza è tutta.

Il caso Ernst & Young di questi giorni è un esempio pulito, e vale la pena tenerlo separato riga per riga.

Quello che EY ha scritto

Nella notifica di violazione — il documento che ha valore, non il comunicato — EY descrive il perimetro dell'incidente in una frase precisa: «EY utilizza una piattaforma di IT service management di terza parte per aiutare il personale IT di EY a fornire supporto ai team EY che svolgono attività di natura fiscale per i clienti». E aggiunge che i ticket di supporto inviati attraverso quella piattaforma possono includere documenti contenenti informazioni fiscali dei clienti.

1. 28 marzo 2026
   Inizio dell'accesso non autorizzato

   Secondo l'accertamento di EY.

2. 12 aprile 2026
   Fine della finestra di accesso

   Nel periodo sono stati scaricati più documenti.

3. 23 aprile 2026
   Rilevamento

   EY individua attività anomala sulla piattaforma.

4. Inizio luglio 2026
   Notifica

   EY comunica la violazione; nessun gruppo l'ha ancora rivendicata.

5. 27 luglio 2026
   Rivendicazione

   ShinyHunters inserisce EY sul proprio sito di leak.

6. 31 luglio 2026
   Scadenza dichiarata

   Il gruppo la definisce «avvertimento finale».

I documenti sottratti, secondo la notifica, contenevano informazioni personali e finanziarie incluse nelle dichiarazioni fiscali o usate per prepararle. EY dichiara di aver messo in sicurezza i sistemi, rimosso l'accesso non autorizzato e informato le forze dell'ordine federali, e offre agli interessati 24 mesi di servizi di monitoraggio e ripristino dell'identità.

Quello che EY non ha reso pubblico è altrettanto rilevante: il nome del sistema di supporto compromesso, la tipologia esatta delle informazioni esposte e il numero di persone coinvolte.

Quello che dice il gruppo, e che nessuno ha verificato

Il 27 luglio ShinyHunters ha aggiunto Ernst & Young al proprio sito di leak, minacciando di pubblicare i dati se l'azienda non avesse contattato il gruppo entro il 31 luglio 2026. Ai giornalisti di BleepingComputer il gruppo ha dichiarato di aver ottenuto credenziali EY attraverso un attacco alla catena di fornitura, e che quelle credenziali avrebbero permesso di violare gli ambienti Jira, GitHub e Azure dell'azienda. Ha inoltre affermato che i dati riconosciuti da EY come compromessi sono stati esposti, «insieme ad altri».

Qui servono tre precisazioni, e sono la parte più importante di questo dossier.

Primo: il gruppo non ha voluto identificare la terza parte che sarebbe stata compromessa, né dire quali dati abbia effettivamente. Secondo: BleepingComputer scrive esplicitamente di non avere modo di verificare in modo indipendente le affermazioni dell'attore, e che EY non ha confermato che dietro l'attacco ci sia ShinyHunters. Terzo: al momento in cui scriviamo non risultano dati EY pubblicati su forum underground.

Quindi: l'incidente è confermato dall'azienda; l'attribuzione no. Sono cose diverse, e il modo più rapido per perdere credibilità è fonderle in un titolo.

Perché la storia conta comunque

Anche togliendo tutta la parte non verificata, resta un fatto che riguarda molte più organizzazioni di quante siano coinvolte in questo caso: il punto d'ingresso non era un sistema di EY. Era la piattaforma di un fornitore, usata da personale interno, che per la natura del proprio lavoro conteneva allegati con dati dei clienti finali.

1. 01
   Il fornitore

   piattaforma di ticketing per il supporto IT interno
2. 02
   Il contenuto

   allegati con informazioni fiscali dei clienti
3. 03
   L'effetto

   il dato del cliente finale esce da un sistema che non è il suo, né quello di chi glielo ha chiesto

È il meccanismo che rende questa categoria di incidenti difficile da governare. Il cliente ha un rapporto con EY; EY ha un rapporto con il fornitore della piattaforma; il fornitore, quasi certamente, ha un rapporto con qualcun altro ancora. La responsabilità verso l'interessato non si sposta lungo quella catena, ma la visibilità sì: si assottiglia a ogni passaggio.

Da qui discendono tre domande che vale la pena porsi oggi, indipendentemente da come finirà questa vicenda. Quali sistemi di terze parti usa il vostro personale interno per supportare il lavoro sui clienti — non per erogarlo, per supportarlo? Che cosa finisce dentro quei sistemi in allegato, cioè fuori dai campi strutturati che avete mappato? E per quanto tempo ci resta?

La risposta più frequente, nella pratica, è che gli allegati dei ticket non compaiono in nessun registro dei trattamenti, in nessuna analisi dei rischi e in nessun piano di conservazione. Sono il posto dove le persone incollano quello che serve per risolvere un problema, e dove poi quel materiale rimane.

Cosa resta da vedere

Questo dossier è una fotografia al 31 luglio 2026, giorno della scadenza dichiarata dal gruppo. Le cose che cambierebbero il quadro sono tre e osservabili: una conferma o una smentita di EY sull'attribuzione, la pubblicazione effettiva di dati, e l'identificazione della piattaforma di terza parte — che è l'unico elemento che permetterebbe alle altre organizzazioni clienti dello stesso fornitore di sapere se sono nel perimetro. Finché non arriva, quel numero non lo conosce nessuno, e la prudenza non è pessimismo: è aritmetica.