アーンスト・アンド・ヤング（EY）は、同会計事務所の税務業務で使用されているサードパーティのITサービス管理プラットフォームに攻撃者がアクセスし、顧客の財務情報を含む書類をダウンロードしたデータ流出を発表した。
今回の流出はよく見られるパターンを踏襲したものだ。サポート業務の日常的な副産物として機密データを保持していた、信頼できるベンダーのツールが侵入口となった。EYは影響を受けた顧客に対し、2026年3月28日から4月12日にかけて、不正な第三者が外部のサポートチケットシステムにアクセスしたと通知。同社は4月23日に異常な活動を検知し、外部のサイバーセキュリティ専門家とともに調査を開始した。
データ保管庫と化したサポートシステム
侵害されたプラットフォームは、EYのIT担当者が税務業務に関するサポートリクエストを管理するために使用していたものだ — ほぼすべての大企業に存在するタイプのチケットシステムである。問題は、サポートチケットに日常的に添付ファイルが含まれていることだ。税務申告書、身分証明書、財務諸表など、顧客が業務の一環として提出するファイルである。サポート担当者にとっての利便性が、攻撃者にとっては宝の山となる。
「企業名を除けば、この話は新しい日付が付けられて繰り返し語られるおなじみの話だ」とセキュリティ分析会社Hoplon InfoSecは本事案の評価で述べている。「利便性のために構築されたツールがいつの間にか機密データの保管庫と化し、何週間も誰も気づかず、今や現実の人々がその余波に対処している。」
EYはカリフォルニア州とバーモント州の規制当局への届出を通じて影響を受けた個人に通知した。同社はExperianを通じて無料の本人確認モニタリングおよび復旧サービスを提供しており、登録期限は10月31日である。影響を受けた顧客の総数や、盗まれたデータが詐欺に使用されたかどうかは開示されていない。
拡大するサードパーティリスク
EYは世界最大級のプロフェッショナルサービス企業の一つであり、150カ国で40万人以上の従業員を擁する。個人や企業が第三者に委託する最も機密性の高い書類の一つである税務記録を含む、この規模のデータ流出は、現代の企業の攻撃対象領域が自社のファイアウォールをはるかに超えて広がっていることを浮き彫りにしている。
法律事務所Edelson Lechtzinは、影響を受けた個人を代表して集団訴訟の可能性について調査を開始したと発表した。同事務所は、本流出には「顧客の税務申告に関連する個人情報および財務詳細」を含む文書が関与していたと述べている。
EYはシステムを保護し、不正アクセスを排除し、連邦法執行機関に通知したと発表した。同社は「影響を受けた個人が特に標的にされたという兆候はない」と述べている。
出典：Ernst & Young データ流出通知 (PRNewswire/Edelson Lechtzin、2026年7月)；EYデータ流出：サードパーティハッキングで顧客税務情報が露出 (CyberSec Guru、2026年7月)；EYデータ流出で顧客税務書類が流出 (Cybernews、2026年7月)
雅子 訳