Ernst & Young (EY), salah satu dari Big Four konsultan akuntansi global, telah mengkonfirmasi adanya pelanggaran data yang melibatkan pencurian dokumen pajak sensitif milik klien. Pelanggaran ini terjadi melalui kompromi terhadap platform IT service management pihak ketiga yang digunakan oleh divisi pajak EY untuk dukungan internal. Kejadian ini menandai insiden keamanan data besar kedua bagi EY dalam kurun waktu sembilan bulan terakhir.
APA YANG TERJADI?
Ernst & Young mengungkapkan bahwa pihak ketiga yang tidak berwenang berhasil memperoleh akses tidak sah ke platform IT service management yang digunakan oleh divisi pajak EY. Platform ini merupakan sistem dukungan IT internal di mana ticket support secara rutin dilampiri dengan dokumen pajak sensitif milik klien sebagai bagian dari proses penyelesaian masalah teknis.
Aktivitas anomali pertama kali terdeteksi pada 23 April 2026, namun penyelidikan internal mengungkap bahwa akses aktual oleh penyerang terjadi dalam rentang waktu 28 Maret hingga 12 April 2026. Artinya, penyerang memiliki akses tak terdeteksi selama sekitar dua minggu penuh sebelum keberadaan mereka terungkap. EY telah mengajukan pemberitahuan kepada Attorney General California pada 15 Juli 2026.
DETAIL TEKNIS
Data yang terpengaruh mencakup detail pribadi yang terkait dengan kepemilikan investasi, Nomor Jaminan Sosial (SSN), serta data finansial terkait persiapan pajak. Di Rhode Island, dilaporkan ada 7 penduduk yang terdampak, yang mengindikasikan bahwa meskipun jumlah korban relatif terkendali, kategori data yang bocor bersifat sangat sensitif.
EY menawarkan layanan pemantauan identitas selama 24 bulan melalui Experian IdentityWorks kepada klien yang terdampak, dengan batas waktu pendaftaran hingga 31 Oktober 2026. Kasus ini sangat penting karena mengungkap sebuah pola kerentanan keamanan rantai pasok yang sering terabaikan: sistem ticketing dukungan IT yang menerima lampiran dari klien secara tidak langsung menjadi repositori data sensitif yang terenkripsi dengan standar yang mungkin tidak seketat sistem inti keamanan data organisasi.
Yang mengkhawatirkan, ini merupakan insiden paparan data besar kedua EY dalam kurun waktu sembilan bulan. Pada Oktober 2025, Neo Security menemukan backup SQL sebesar 4TB di Microsoft Azure yang berisi data milik EY. Kombinasi dari kedua insiden ini menimbulkan pertanyaan serius mengenai postur keamanan keseluruhan organisasi konsultan raksasa ini.
DAMPAK TERHADAP INDONESIA
Ernst & Young memiliki kehadiran operasional yang signifikan di Indonesia melalui EY Indonesia, dengan klien yang mencakup korporasi besar, BUMN, dan entitas pemerintah. Data breach pada konsultan pajak kelas dunia seperti EY berpotensi berdampak pada klien-klien Indonesia yang mempercayakan pengelolaan pajak lintas batas kepada mereka.
Di bawah Undang-Undang Pelindungan Data Pribadi (UU PDP), organisasi di Indonesia memiliki kewajiban untuk memastikan bahwa pihak ketiga yang memproses data pribadi warga negara Indonesia juga mematuhi standar keamanan yang memadai. Ketika konsultan seperti EY mengalami data breach, klien Indonesia yang data pribadinya mungkin tersimpan di sistem EY berhak mendapatkan pemberitahuan dan kompensasi sesuai ketentuan undang-undang.
Insiden ini juga menjadi peringatan bagi sektor perbankan dan jasa keuangan di Indonesia yang bekerja sama dengan konsultan internasional untuk layanan perpajakan dan audit. BSSN dan OJK perlu mempertimbangkan dampak dari jenis supply chain breach ini terhadap postur keamanan nasional, mengingat data pajak yang bocor berisi informasi finansial yang sangat detail dan dapat digunakan untuk aktivitas pemalsuan identitas atau serangan spear-phishing tingkat lanjut.
REKOMENDASI MITIGASI
Lakukan audit segera terhadap semua platform dukungan IT pihak ketiga yang digunakan oleh organisasi, khususnya yang mengakses atau menyimpan lampiran yang mengandung data sensitif. Pastikan platform tersebut menerapkan enkripsi data-at-rest dan data-in-transit yang memadai.
Implementasikan kebijakan yang melarang pengiriman data sensitif melalui sistem ticketing IT. Gunakan encrypted file sharing yang terpisah dengan kontrol akses yang lebih ketat untuk dokumen yang mengandung data pribadi atau informasi keuangan. Terapkan Data Loss Prevention (DLP) pada titik-titik eksternal untuk memantau dan memblokir transfer data sensitif yang tidak sah.
Pastikan klausul keamanan siber dalam kontrak dengan vendor pihak ketiga mencakup hak audit, standar keamanan minimum, dan kewajiban pemberitahuan pelanggaran dalam waktu 72 jam. Untuk klien Indonesia, pastikan pemrosesan data pribadi oleh konsultan asing mematuhi ketentuan Undang-Undang PDP terkait pemrosesan data lintas batas.
Analisa Retasan
Insiden EY ini memperlihatkan sebuah paradoks keamanan siber yang makin mendesak: sistem yang dirancang untuk meningkatkan efisiensi operasional justru menjadi titik lemah terbesar dalam pertahanan data. Platform IT service management seperti Jira, ServiceNow, atau Zendesk secara inheren dibangun untuk kemudahan kolaborasi dan berbagi file, bukan untuk menjaga kerahasiaan data regulatori. Ketika ticket support berisi lampiran dokumen pajak dengan SSN dan data finansial, platform ini secara tidak langsung menjadi data warehouse sensitif yang mungkin tidak dilindungi dengan standar keamanan yang sama dengan sistem core keuangan.
Pola ini seharusnya sudah menjadi pelajaran setelah insiden SolarWinds dan Kaseya, namun kenyataannya banyak organisasi, termasuk Big Four akuntansi, masih belum menerapkan pemisahan yang tegas antara data sensitif dan platform kolaborasi umum. Gap waktu dua minggu antara akses aktual penyerang dan deteksi menunjukkan bahwa monitoring keamanan pada platform pihak ketiga ini sangat minim. Bagi organisasi di Indonesia, ini adalah peringatan untuk memastikan bahwa setiap integrasi dengan vendor internasional memiliki visibility keamanan yang memadai, bukan hanya mengandalkan sertifikasi vendor semata.
Dari perspektif UU PDP Indonesia, insiden ini menghadirkan kompleksitas hukum yang signifikan. Jika data pribadi warga negara Indonesia tersimpan di sistem EY dan bocor melalui platform pihak ketiga, pertanggungjawaban hukum dapat menyebar ke berbagai entitas: EY sebagai data controller, pihak ketiga sebagai subprocessor, dan klien EY sebagai entitas yang menyerahkan data. Organisasi Indonesia yang menggunakan jasa konsultan pajak asing harus mulai memperlakukan due diligence keamanan siber vendor dengan keseriusan yang sama dengan due diligence keuangan. Ini termasuk meminta laporan audit SOC 2 Type II, memverifikasi kontrol DLP, dan memastikan hak audit kontraktual untuk sistem yang memproses data klien Indonesia.
Sumber: GBHackers – EY Data Breach
Ernst & Young, EY, Data Breach, Dokumen Pajak, Supply Chain Attack, Third-Party Risk, IT Service Management, SSN, Identity Theft, UU PDP, Compliance
