חברת הייעוץ וראיית החשבון EY, אחת מארבע הגדולות בעולם, החלה להודיע ללקוחות על אירוע דליפת מידע. המידע שנחשף כולל מסמכים אישיים ופיננסיים ששימשו להכנת דוחות מס. המקור לא היה פריצה למערכות של EY עצמה, אלא למערכת של ספק חיצוני.

מה קרה

EY זיהתה פעילות חריגה ברשת שלה ב-23 באפריל ופתחה בחקירה בעזרת מומחים חיצוניים. מהחקירה עלה שגורם לא מורשה החזיק בגישה בין 28 במרץ ל-12 באפריל לפלטפורמת קריאות שירות שבה השתמשו אנשי מחשוב בחברה, והוריד ממנה מסמכים.

הנקודה המעניינת היא איפה המידע היה. מערכת קריאות שירות היא הכלי שבו עובדים פותחים פנייה לתמיכה טכנית. כדי להסביר תקלה, עובדים מצרפים לא פעם צילומי מסך או קבצים מהעבודה השוטפת, וכך מסמכים רגישים מגיעים למקום שלא נועד לאחסן אותם ולא מאובטח כמו המערכות המרכזיות.

החברה דיווחה לרשויות בארצות הברית, הגישה הודעת דליפה לתובע הכללי של קליפורניה ב-15 ביולי, והחלה ליידע נפגעים ב-13 בחודש. לדבריה הגישה הלא מורשית נחסמה והמערכות אובטחו, ואין עדות לשימוש לרעה במסמכים או למתקפות ממוקדות נגד אנשים מסוימים.

למה זה חשוב לכם

EY פועלת גם בישראל ומשרתת חברות ישראליות רבות, אבל הלקח רחב מהמקרה הזה. הפרטים האישיים שלכם לא יושבים רק אצל הגופים שאיתם התקשרתם. הם עוברים לרואי חשבון, ליועצים, לחברות סליקה ולספקי תוכנה, ומשם למערכות עזר שאף אחד לא חשב עליהן כעל מאגר מידע רגיש.

מסמכי מס הם מטרה מבוקשת במיוחד: יש בהם שם מלא, מספר זהות, פרטי הכנסה ולעיתים גם פרטי חשבון בנק. זו בדיוק החבילה שמאפשרת לנוכל להתחזות לכם מול גוף אחר, או לבנות הודעת פישינג משכנעת שמזכירה פרטים אמיתיים עליכם.

מה עושים?

אם קיבלתם הודעה רשמית על דליפה שנוגעת לכם, אל תתעלמו ממנה, אבל גם אל תלחצו על קישורים שבתוכה. היכנסו לאתר החברה ישירות ובדקו שם.

היו חשדניים במיוחד כלפי פניות שמציגות פרטים נכונים עליכם. נוכל שמחזיק במסמך מס יודע את מספר הזהות שלכם, וזה לא הופך אותו לגורם אמין. פרט נכון אינו הוכחת זהות.

עקבו אחרי חשבון הבנק וכרטיסי האשראי בחודשים הקרובים ובדקו חיובים קטנים ולא מוכרים, שהם לרוב בדיקת שטח לפני חיוב גדול.

אם אתם מנהלים עסק, שאלו את ספקי השירות שלכם היכן נשמרים המסמכים שאתם מעבירים אליהם וכמה זמן. גם צירוף קובץ לפנייה טכנית הוא העברת מידע.

האירוע הזה הוא תזכורת שההגנה על המידע שלכם חזקה כמו החוליה החלשה בשרשרת, ולא כמו החברה הגדולה שבקצה שלה.