Ernst & Young Ungkap Data Breach Setelah Sistem Support Diretas

Ernst & Young (EY) mulai memberi tahu sejumlah pelanggan terkait insiden data breach yang terjadi setelah sistem support ticket pihak ketiga yang digunakan staf IT perusahaan diretas oleh pihak tidak berwenang.

Dalam pemberitahuannya, EY menyebut tiket dukungan yang dikirim melalui platform tersebut berpotensi berisi dokumen dengan informasi pajak klien. Jenis data yang terekspos dapat mencakup informasi pribadi dan finansial tertentu yang terdapat dalam, atau digunakan untuk menyiapkan, pelaporan pajak.

EY merupakan salah satu dari empat firma audit dan layanan profesional terbesar di dunia. Perusahaan ini menyediakan layanan audit, pajak, konsultasi, hingga advisory transaksi untuk organisasi besar di lebih dari 150 negara. Dengan skala operasi global tersebut, insiden pada sistem pendukung internal menjadi perhatian serius karena dapat berdampak pada data sensitif milik klien.

Akses Tidak Sah Terjadi Selama Lebih dari Dua Pekan

Berdasarkan pemberitahuan kepada klien terdampak, EY mendeteksi aktivitas anomali di jaringannya pada 23 April 2026 dan langsung memulai investigasi. Dengan bantuan pakar keamanan siber eksternal, perusahaan kemudian menemukan bahwa pihak ketiga tidak sah telah mengakses platform support tersebut antara 28 Maret hingga 12 April 2026.

Selama periode tersebut, penyerang disebut mengunduh sejumlah dokumen dari platform yang digunakan oleh personel IT EY. Perusahaan belum merinci secara publik platform ticketing pihak ketiga yang terdampak, jumlah pelanggan yang terkena dampak, maupun apakah insiden ini hanya memengaruhi pelanggan di Amerika Serikat atau juga wilayah lain.

Dalam contoh pemberitahuan yang beredar, daftar jenis data spesifik masih menggunakan placeholder. Karena itu, cakupan pasti informasi yang terekspos belum dapat dipastikan. Namun konteks dokumen pajak membuat insiden ini memiliki risiko lanjutan, terutama terkait pencurian identitas, penipuan finansial, dan penyalahgunaan informasi pajak.

EY Klaim Akses Penyerang Telah Diputus

EY menyatakan telah mengamankan sistemnya dan memberi tahu otoritas penegak hukum federal terkait insiden tersebut. Perusahaan juga memastikan akses tidak sah ke platform yang terdampak telah dihapus.

Hingga pemberitahuan diterbitkan, EY mengaku belum menemukan indikasi penyalahgunaan atau penyebaran lebih lanjut dari dokumen yang dicuri. Perusahaan juga menyebut tidak memiliki indikasi bahwa individu tertentu menjadi target langsung pelaku ancaman.

Meski demikian, absennya klaim dari kelompok ransomware atau pemerasan data tidak otomatis menurunkan tingkat risiko. Dalam banyak kasus, dokumen yang dicuri dari sistem pihak ketiga dapat digunakan dalam skema fraud, rekayasa sosial, atau dijual di forum bawah tanah tanpa publikasi besar-besaran.

Klien Terdampak Diberi Layanan Pemantauan Identitas

Untuk mengurangi risiko dari paparan data tersebut, EY menawarkan layanan identity monitoring dan restoration selama 24 bulan melalui Experian kepada klien terdampak. Penerima surat pemberitahuan diminta melakukan pendaftaran paling lambat 31 Oktober 2026.

Langkah ini umumnya diberikan setelah insiden yang berpotensi melibatkan data pribadi atau finansial, terutama ketika data tersebut dapat dipakai untuk membuka akun palsu, melakukan klaim pajak tidak sah, atau menjalankan penipuan berbasis identitas.

Risiko Rantai Pasok Masih Jadi Tantangan Besar

Insiden ini kembali menyoroti risiko keamanan pada sistem pihak ketiga yang terhubung dengan operasi perusahaan besar. Meski platform semacam support ticketing sering dianggap sebagai sistem operasional pendukung, data yang tersimpan di dalamnya bisa sangat sensitif karena berisi lampiran, percakapan teknis, hingga dokumen klien.

Bagi organisasi, kasus ini menjadi pengingat bahwa keamanan tidak hanya bergantung pada sistem inti perusahaan. Vendor, platform dukungan, dan layanan manajemen internal juga perlu diaudit secara berkala, termasuk penerapan akses berbasis prinsip least privilege, logging yang memadai, serta pemantauan aktivitas anomali secara real-time.

Sumber: Ernst & Young discloses data breach after support system hack