Ernst & Young (EY) mengkonfirmasi insiden keamanan data di mana pihak ketiga yang tidak berwenang berhasil membobol platform IT service management yang digunakan oleh divisi tax practice-nya, mengeksfiltrasi dokumen berisi informasi personal dan keuangan klien. Ini merupakan insiden keamanan data besar kedua EY dalam sembilan bulan terakhir.
APA YANG TERJADI?
EY mengandalkan platform IT service managementuntuk membantu personel IT internal mendukung tim yang melakukan pekerjaan terkait pajak bagi klien. Support tickets yang dikirimkan melalui platform ini secara rutin membawa lampiran berupa dokumen pajak sensitif kliensebuah praktik umum namun berisiko dalam workflow IT support enterprise.
Information Security team EY pertama kali mengidentifikasi aktivitas anomali pada platform tersebut pada 23 April 2026 dan segera mengaktifkan prosedur incident response. Investigasi dengan firma cybersecurity independen kemudian menentukan bahwa unauthorized access yang sebenarnya dimulai berminggu-minggu sebelumnya, antara 28 Maret hingga 12 April 2026 — berarti attacker beroperasi tanpa terdeteksi selama kurang lebih dua minggu sebelum EY menemukan breach.
DETAIL TEKNIS
Breach notification formal diajukan ke California Attorney General pada 15 Juli 2026, dan surat pemberitahuan individual mulai dikirimkan kepada klien yang terdampak tertanggal 13 Juli 2026. Information yang dikompromi meliputi detail personal yang terkait investasi individu dengan klien institusional EY, serta informasi keuangan yang terkandung dalam atau digunakan untuk menyiapkan pelaporan pajak.
Karena elemen data yang tepat bervariasi per penerima, surat pemberitahuan EY menggunakan placeholder fields untuk kategori spesifik seperti Social Security numbers, meskipun surat tersebut mengonfirmasi bahwa both personal identifiers dan tax-preparation financial data terlibat.
Disclosure dari Rhode Island menunjukkan insiden ini mempengaruhi populasi yang relatif terkandung di negara bagian tersebut menerima pemberitahuan hanya untuk tujuh penduduk yang terdampak, menunjukkan bahwa jumlah korban lebih luas namun tidak indiscriminately besar.
Sebagai remediation, EY menawarkan kepada individu yang terdampak 24 bulan monitoring kredit dan identitas gratis melalui Experian IdentityWorks, dengan pendaftaran harus diselesaikan sebelum 31 Oktober 2026.
DAMPAK TERHADAP INDONESIA
EY memiliki operasi signifikan di Indonesia, melayani klien korporat besar di sektor perbankan, energi, dan teknologi. Breach ini menjadi reminder kritis bahwa supply chain security tidak terbatas pada software third-party IT support platforms juga merupakan attack surface yang harus diamankan setara dengan core financial systems.
Dalam konteks PDP Law Indonesia, organisasi yang menggunakan jasa konsultan pajak dari firm besar seperti EY harus memahami bahwa data pajak mereka mungkin terpapar melalui platform support ticket yang dikompromi. UU PDP mewajibkan pelaporan insiden kepada data subjects dan regulator dalam 72 jam di timeline yang harus dipahami oleh semua pihak dalam chain data processing, termasuk vendor dan konsultan.
Insiden ini juga menyoroti risiko dari praktik menyertakan dokumen pajak sensitif sebagai lampiran support ticket. Banyak organisasi di Indonesia menerapkan praktik serupa — mengirimkan dokumen pajak, KTP, dan dokumen keuangan lainnya melalui email atau sistem ticketing tanpa enkripsi end-to-end.
REKOMENDASI MITIGASI
1. Hindari menyertakan dokumen pajak sensitif langsung sebagai lampiran support ticket di” gunakan secure file transfer terenkripsi. 2. Implementasikan data classification untuk semua dokumen yang masuk ke platform third-party. 3. Aktifkan monitoring dan alerting terhadap akses tidak biasa pada support platform. 4. Audit secara berkala siapa yang memiliki akses ke lampiran support ticket. 5. Pastikan vendor dan konsultan memiliki incident response plan yang selaras dengan kewajiban PDP Law.
Analisa Retasan
Data breach EY ini menunjukkan ironi tersendiri: firma yang secara rutin mengaudit keamanan kliennya sendiri menjadi korban dari praktik IT support yang tidak aman. Support ticket systems secara historis mendapat perhatian keamanan yang jauh lebih sedikit dibandingkan core financial systems , padahal mereka secara konsisten menjadi repositori de facto data sensitif. Ini adalah blind spot yang harus segera diatasi oleh setiap organisasi.
Detection gap dua minggu antara awal akses dan penemuan breach merupakan window yang signifikan. Dalam dua minggu, attacker memiliki waktu yang cukup untuk menjelajahi dan mengeksfiltrasi dokumen support ticket dari numerous klien. Ini menggarisbawahi pentingnya User and Entity Behavior Analytics (UEBA) yang mampu mendeteksi pola akses tidak biasa pada support platforms & bukan hanya monitoring pada sistem keuangan utama.
Insiden ini menjadi cermin bagi praktik keamanan di Indonesia, di mana dokumen pajak, KTP, dan dokumen keuangan lainnya sering dikirimkan tanpa pertimbangan keamanan yang memadai melalui email atau sistem ticketing. Dengan berlakunya PDP Law, organisasi Indonesia harus mulai memperlakukan setiap touch point data sensitif — termasuk support tickets — sebagai attack surface yang memerlukan proteksi setara. Ini bukan lagi soal “nice to have” tapi “must have”.
Sumber: GBHackers EY Data Breach
