Ernst & Young meldet Datenpanne durch Drittanbieter-Hack

Was ist passiert

Ernst & Young (EY), eines der vier größten Prüfungs- und Beratungsunternehmen der Welt, hat eine Datenpanne öffentlich gemacht, die seine Kunden betrifft. Laut einer Erklärung des Unternehmens gelang es Cyberkriminellen, ein von IT-Mitarbeitern von EY genutztes Support-Ticket-System eines Drittanbieters zu kompromittieren. Dieser Vorfall unterstreicht einmal mehr die erheblichen und wachsenden Risiken, die in der modernen Geschäftswelt mit Lieferketten und Drittanbietern verbunden sind.

Das Ereignis zeigt, dass selbst ein riesiges Unternehmen wie EY, das im vergangenen Jahr einen weltweiten Umsatz von 53,2 Milliarden US-Dollar erzielte und 406.000 Mitarbeiter in über 150 Ländern beschäftigt, anfällig für Cyber-Bedrohungen ist, die von seinen Geschäftspartnern ausgehen. In Benachrichtigungsschreiben an betroffene Kunden erklärte das Unternehmen, am 23. April anomale Aktivitäten in seinen Netzwerken entdeckt und sofort eine Untersuchung eingeleitet zu haben. Diese Untersuchung wurde mit Unterstützung externer Cybersicherheitsexperten durchgeführt.

Die Ergebnisse der Untersuchung ergaben, dass ein unbefugter Dritter zwischen dem 28. März und dem 12. April Zugang zu der besagten Support-Plattform hatte. In diesem Zeitraum luden die Angreifer mehrere Dokumente von der Plattform herunter. Die Tatsache, dass die Angreifer etwa zwei Wochen lang unentdeckt im System blieben, bedeutet, dass sie ausreichend Zeit hatten, die gefundenen Daten zu prüfen und zu exfiltrieren, was die potenziellen Auswirkungen des Vorfalls erhöht.

Welche Daten wurden kompromittiert

Die Art der bei dem Cyberangriff exfiltrierten Daten ist einer der besorgniserregendsten Aspekte des Vorfalls. Laut der Mitteilung von Ernst & Young enthielten die von den Angreifern heruntergeladenen Dokumente bestimmte persönliche und finanzielle Daten, die in den Steuererklärungen von Kunden enthalten sind oder zu deren Vorbereitung verwendet werden. Diese Dokumente, die an über die Plattform eingereichte Support-Tickets angehängt waren, könnten hochsensible Informationen enthalten.

Es herrscht jedoch weiterhin Unsicherheit über den genauen Typ und Umfang der kompromittierten Daten. In Mustern der von EY versandten Benachrichtigungsschreiben wird Berichten zufolge ein Platzhalter für die spezifischen kompromittierten Datentypen verwendet. Dies deutet darauf hin, dass die betroffenen Daten für jeden Kunden unterschiedlich sein können und dass das Unternehmen jedem Opfer maßgeschneiderte Informationen zur Verfügung stellt. Informationen, die typischerweise in Steuerunterlagen zu finden sind, können Sozialversicherungsnummern, Einkommensdetails, Bankkontoinformationen, Anlagedaten und andere persönliche Identifikatoren umfassen. EY hat jedoch nicht öffentlich detailliert dargelegt, welche spezifischen Datentypen bei diesem Vorfall kompromittiert wurden.

Das Unternehmen gibt an, derzeit keine Kenntnis von einem Missbrauch der gestohlenen Dateien oder einer weiteren Veröffentlichung der Daten im Internet zu haben. Dennoch birgt die Kompromittierung solch sensibler Finanzdaten erhebliche Risiken, darunter Identitätsdiebstahl, gezielte Phishing-Angriffe und Finanzbetrug.

Wie der Angriff geschah

Nach den vorliegenden Informationen richtete sich der Angriff nicht gegen die Kernsysteme von EY selbst, sondern gegen eine von EY genutzte Softwareplattform eines Drittanbieters. Die Angreifer drangen in dieses externe System ein, das von den IT-Mitarbeitern von EY zur Verwaltung von Kunden-Supportanfragen verwendet wurde. Dies ist eine häufige Art von Cyberangriff, bekannt als Lieferkettenangriff.

Die Untersuchung bestätigte, dass die Angreifer zwischen dem 28. März und dem 12. April unbefugten Zugriff auf das System hatten und währenddessen zahlreiche Dokumente herunterluden. Das Unternehmen hat keine technischen Details zum ursprünglichen Angriffsvektor mitgeteilt – also wie die Angreifer erstmals in das System eindrangen (z. B. durch gestohlene Anmeldeinformationen, eine Zero-Day-Schwachstelle oder einen Konfigurationsfehler).

Darüber hinaus ist noch nicht bekannt, welcher Bedrohungsakteur oder welche Gruppe hinter dem Angriff steckt. Bislang hat keine Ransomware- oder Daten-Erpressungsgruppe die Verantwortung für diesen Angriff auf Ernst & Young übernommen. Dies lässt den Beweggrund für den Angriff – ob finanzieller Gewinn oder Spionage – als Spekulation im Raum stehen, da keine konkreten Beweise vorliegen.

Wer ist betroffen

Ernst & Young hat die genaue Anzahl der von der Datenpanne betroffenen Kunden nicht bekannt gegeben. Es ist auch unklar, ob der Vorfall nur auf den US-Kundenstamm beschränkt ist oder auch die globalen Aktivitäten betrifft. Das Unternehmen hat lediglich erklärt, dass es sich direkt per Post an potenziell betroffene Kunden wendet. Wenn Sie also keine Benachrichtigung erhalten haben, ist es wahrscheinlich, dass Ihre Daten von diesem Ereignis nicht betroffen sind.

Betroffen sind wahrscheinlich Einzelpersonen oder Unternehmenskunden, die EY für Steuerberatung oder ähnliche Dienstleistungen in Anspruch genommen und dabei Dokumente über die Support-Plattform ausgetauscht haben. Die Offenlegung hochsensibler Informationen wie Steuerdaten kann sowohl für Einzelpersonen als auch für Unternehmen erhebliche Datenschutz- und Sicherheitsprobleme aufwerfen.

Was Sie tun können

Wenn Sie von Ernst & Young ein Benachrichtigungsschreiben zu dieser Datenpanne erhalten haben, ist es wichtig, die Situation ernst zu nehmen und umgehend zu handeln. Hier sind die Schritte, die Sie unternehmen können:

• Melden Sie sich für den Identitätsschutzdienst an: EY bietet betroffenen Kunden 24 Monate lang kostenlose Identitätsüberwachungs- und Wiederherstellungsdienste über Experian an. Melden Sie sich unbedingt vor dem im Schreiben genannten Stichtag, dem 31. Oktober 2026, für diesen Dienst an. Diese Dienste überwachen verdächtige Aktivitäten, wie z. B. die Eröffnung neuer Kreditkonten in Ihrem Namen, und benachrichtigen Sie.
• Seien Sie wachsam gegenüber Phishing-Versuchen: Angreifer könnten die gestohlenen Informationen nutzen, um sehr überzeugende und personalisierte Phishing-E-Mails oder Telefonanrufe zu tätigen. Seien Sie wachsam bei verdächtigen Mitteilungen, die vorgeben, von EY, den Steuerbehörden oder Ihrer Bank zu stammen. Bestätigen Sie niemals persönliche Informationen per E-Mail oder Telefon.
• Überprüfen Sie Ihre Finanzkonten: Kontrollieren Sie regelmäßig Ihre Bank- und Kreditkartenabrechnungen auf Transaktionen, die Sie nicht wiedererkennen. Wenn Sie Unregelmäßigkeiten feststellen, kontaktieren Sie sofort das jeweilige Finanzinstitut.
• Aktualisieren Sie Ihre Passwörter: Auch wenn es nicht direkt mit dieser Panne zusammenhängt, erhöht das Ändern der Passwörter für Ihre wichtigen Online-Konten und die Aktivierung der Multi-Faktor-Authentifizierung (MFA) Ihre allgemeine Sicherheit.

Was das Unternehmen sagt

Ernst & Young erklärte, dass es nach der Entdeckung des Vorfalls seine Systeme gesichert und den unbefugten Zugriff beendet habe. Das Unternehmen meldete den Vorfall auch den Bundesstrafverfolgungsbehörden. In den Schreiben an die Kunden hieß es: „Wir haben keine Kenntnis von einem Missbrauch oder einer weiteren Offenlegung der gestohlenen Dateien und haben keine Anzeichen dafür, dass bestimmte Personen von den Bedrohungsakteuren gezielt angegriffen wurden.“

Durch das Angebot von 24 Monaten Identitätsüberwachungsdiensten von Experian scheint EY einen proaktiven Schritt zu unternehmen, um die aus dem Vorfall entstehenden Risiken zu mindern. Anfragen von BleepingComputer nach weiteren Informationen über den Vorfall waren zum Zeitpunkt der Veröffentlichung jedoch noch nicht beantwortet worden. Es bleibt ungewiss, ob das Unternehmen in Zukunft weitere technische Details oder Informationen über das Ausmaß der Auswirkungen veröffentlichen wird.

Quelle

https://www.bleepingcomputer.com/news/security/ernst-and-young-discloses-data-breach-after-support-system-hack/