Ausgelöst wurde die Benachrichtigung durch einen Angriff auf eine externe Service-Management-Plattform, die EY für steuerbezogene Support-Prozesse einsetzt. In einem an Kunden versandten Schreiben, das in Kalifornien bei der Generalstaatsanwaltschaft eingereicht wurde, erklärte das Unternehmen, dass über die Plattform eingereichte Support-Tickets Dokumente mit steuerlichen Kundendaten enthalten können.
EY zufolge fiel zunächst anomale Aktivität auf der Plattform auf. Daraufhin aktivierte das Unternehmen seine Reaktionsprozesse für Sicherheitsvorfälle und begann mit Maßnahmen zur Behebung und Wiederherstellung. Zusätzlich zog EY eine unabhängige Cybersicherheitsfirma hinzu, die die Natur und das Ausmaß des Angriffs untersuchen soll.
Nach Angaben von EY hatten die Hacker zwischen dem 28. März und dem 12. April Zugriff auf die betroffene Plattform. In diesem Zeitraum luden sie Dokumente von EY-Kunden herunter. Gegenüber der Generalstaatsanwaltschaft von Texas erklärte das Unternehmen, dass die in diesen Unterlagen enthaltenen persönlichen und finanziellen Informationen Namen, Adressen, Sozialversicherungsnummern, Kontonummern sowie Kredit- und Debitkartennummern umfassen. Hinzu kommen weitere Datentypen, die für die Erstellung von Steuerunterlagen genutzt werden.
Zu den konkreten Umständen des Angriffs macht EY bislang keine Angaben. Das Unternehmen hat weder erläutert, auf welchem Weg die Angreifer in die Plattform eindringen konnten, noch einen verantwortlichen Bedrohungsakteur benannt. Dem Bericht zufolge hat zudem keine bekannte Ransomware- oder Erpressungsgruppe die Tat für sich reklamiert.
EY erklärte, dem Unternehmen seien derzeit keine Fälle bekannt, in denen die persönlichen Informationen betroffener Kunden missbraucht oder weiter offengelegt wurden. Dennoch bietet EY den Betroffenen zwei Jahre lang kostenlose Leistungen zur Kreditüberwachung, zur Überwachung von Identitätsdaten und zur Wiederherstellung der Identität an.
SecurityWeek teilte mit, Ernst & Young um weitere Informationen zu dem Vorfall gebeten zu haben. Eine Antwort des Unternehmens lag demnach zunächst nicht vor.