Σοβαρότερη από ό,τι είχε αρχικά γίνει γνωστό αποδεικνύεται η κυβερνοεπίθεση στην EY, μία από τις τέσσερις μεγαλύτερες ελεγκτικές και συμβουλευτικές εταιρείες του κόσμου.
Μεταξύ των θυμάτων περιλαμβάνονται πελάτες της μονάδας wealth management της Goldman Sachs, το βρετανικό hedge fund Man Group και ο διεθνής όμιλος ακινήτων Tishman Speyer. Η υπόθεση αναδεικνύει έναν κρίσιμο κίνδυνο για τις εταιρείες επαγγελματικών υπηρεσιών: οι ίδιες μπορεί να μην παραβιάζονται άμεσα, αλλά αποτελούν πύλες πρόσβασης σε εξαιρετικά ευαίσθητα δεδομένα των πελατών τους, σύμφωνα με τους Financial Times.
Η παραβίαση σημειώθηκε μεταξύ 28 Μαρτίου και 12 Απριλίου, όταν μη εξουσιοδοτημένος τρίτος απέκτησε πρόσβαση σε πλατφόρμα της EY και κατέβασε έγγραφα που αφορούσαν πελάτες της. Σύμφωνα με τις ειδοποιήσεις που έλαβαν οι ενδιαφερόμενοι, τα δεδομένα που εκτέθηκαν περιλάμβαναν ονόματα, διευθύνσεις, φορολογικά στοιχεία, ηλεκτρονικές διευθύνσεις και οικονομικές πληροφορίες. Η EY απέδωσε το περιστατικό σε ευπάθεια στο λογισμικό της Checkmarx, η οποία επηρέασε και άλλους οργανισμούς.
Η EY γνωστοποίησε την επίθεση τον Ιούλιο στις αρμόδιες αρχές τεσσάρων αμερικανικών πολιτειών — Καλιφόρνια, Τέξας, Μασαχουσέτη και Βερμόντ. Τον ίδιο μήνα, η κυβερνοεγκληματική ομάδα ShinyHunters ανέλαβε την ευθύνη, σύμφωνα με τις πληροφορίες που έγιναν γνωστές. Η ομάδα έχει συνδεθεί από τις αρχές με σειρά μεγάλων παραβιάσεων δεδομένων από το 2020. Πρόσφατα, η ολλανδική αστυνομία ανακοίνωσε τη σύλληψη ενός προσώπου που φέρεται να αποτελεί ηγετικό στέλεχος του κυκλώματος. Σύμφωνα με το FBI, ο ύποπτος και συνεργοί του φέρονται να είχαν παραβιάσει περισσότερους από 140 οργανισμούς και να είχαν αποσπάσει τουλάχιστον 70 εκατ. δολάρια σε εκβιαστικές πληρωμές.
Για την Goldman Sachs, το περιστατικό αποκτά ιδιαίτερη σημασία επειδή αφορά πελάτες της μονάδας διαχείρισης πλούτου. Η τράπεζα ενημέρωσε τους πελάτες της ότι η EY προσέλαβε ανεξάρτητη εταιρεία κυβερνοασφάλειας για να επιβεβαιώσει ότι τα συστήματα που επηρεάστηκαν έχουν πλέον ασφαλιστεί. Παράλληλα, η ομάδα τεχνολογικού κινδύνου της Goldman πραγματοποιεί δικό της έλεγχο και ζητά αντικειμενικά στοιχεία και ανεξάρτητη επιβεβαίωση για την αποτελεσματικότητα των μέτρων αποκατάστασης.
Η Goldman υπογράμμισε ότι τα δικά της συστήματα δεν παραβιάστηκαν και ότι τα περιουσιακά στοιχεία των πελατών της δεν επηρεάστηκαν. Το ίδιο τόνισε και η Man Group, σημειώνοντας ότι το περιστατικό αφορούσε λογισμικό τρίτου μέρους και ήταν ανεξάρτητο από τα δικά της συστήματα.
Η υπόθεση είναι ιδιαίτερα ευαίσθητη για την EY, καθώς η εταιρεία δραστηριοποιείται ακριβώς στον χώρο της εμπιστοσύνης, του ελέγχου, της φορολογικής συμβουλευτικής και της διαχείρισης κινδύνων. Η ίδια η EY επισημαίνει ότι οι σύγχρονες κυβερνοεπιθέσεις μπορούν να στοχεύσουν προσωπικά δεδομένα, πληροφοριακά συστήματα και υποδομές τρίτων και ότι απαιτούν συνδυασμό τεχνολογικών και ελεγκτικών μηχανισμών.
Η EY δήλωσε ότι η έρευνά της βρίσκεται στην τελική φάση και ότι ενημερώνει απευθείας τους πελάτες για τα ευρήματα. Παράλληλα, προσφέρει στους επηρεαζόμενους υπηρεσίες παρακολούθησης πιστωτικού ιστορικού και προστασίας από κλοπή ταυτότητας.
Το περιστατικό δείχνει έτσι ότι η κυβερνοασφάλεια δεν αφορά πλέον μόνο τις τράπεζες ή τις τεχνολογικές εταιρείες. Οποιοσδήποτε οργανισμός διαχειρίζεται δεδομένα πελατών μπορεί να αποτελέσει κρίσιμο κρίκο μιας αλυσίδας επίθεσης — και μια ευπάθεια σε έναν τεχνολογικό πάροχο μπορεί να μετατρέψει έναν λογιστικό ή συμβουλευτικό όμιλο σε πύλη προς τα οικονομικά στοιχεία εκατοντάδων ή χιλιάδων πελατών.