Violation de données chez EY en 2026

Selon les documents, les informations téléchargées pouvaient comprendre le nom, l’adresse, le numéro de sécurité sociale, le numéro de compte bancaire et le numéro de carte de crédit ou de débit d’une personne. EY a également indiqué que d’autres renseignements personnels et financiers utilisés pour préparer les déclarations fiscales pouvaient avoir été concernés. Cette fiche ne recense que les catégories étayées par les notifications de l’entreprise et celles des autorités de contrôle.

L’entreprise n’a pas déclaré que chaque document de client contenait tous ces champs. Les mots de passe, les données biométriques et les dossiers médicaux ne faisaient pas partie du périmètre décrit et ne sont pas ajoutés aux catégories de données. La combinaison d’un numéro de sécurité sociale, de comptes financiers et d’informations fiscales expose néanmoins les personnes concernées à des risques importants d’usurpation d’identité, de déclarations fiscales frauduleuses, d’ouverture frauduleuse de comptes et d’escroqueries financières ciblées.

La violation concernait une plateforme externe de gestion des services utilisée pour les demandes d’assistance fiscale, et non le site web public principal d’EY. Les systèmes de gestion des tickets peuvent recueillir des captures d’écran, des pièces jointes et des informations détaillées sur les clients, ce qui peut rendre une demande d’assistance apparemment banale bien plus sensible que prévu. Cet incident montre pourquoi les pièces jointes aux demandes d’assistance doivent faire l’objet d’une classification des données, de contrôles de conservation et d’une protection des accès comparables à ceux des principaux systèmes métier.

EY n’a pas révélé comment l’attaquant avait initialement accédé à la plateforme, ni nommé de vulnérabilité ou identifié l’auteur de l’attaque. Aucun signalement confirmé ne fait non plus état d’une revendication de l’incident par un groupe connu pour ses attaques par rançongiciel ou ses activités d’extorsion. Cette fiche ne formule aucune hypothèse sur la méthode d’attaque et s’en tient aux faits vérifiés concernant l’accès à la plateforme, la période concernée et les documents téléchargés.

Les documents fiscaux peuvent réunir en un même endroit des renseignements sur l’employeur, les revenus, les comptes et l’identité. Un attaquant pourrait les utiliser pour déposer une demande frauduleuse de remboursement d’impôt, rédiger des messages très convaincants à partir d’informations authentiques sur les clients ou se faire passer pour un conseiller fiscal. Si vous recevez un avis inattendu de l’administration fiscale, une alerte signalant une déclaration en double ou une demande de remboursement que vous ne reconnaissez pas, contestez-la rapidement par le canal officiel de l’administration fiscale.

Les personnes dont le numéro de carte ou de compte bancaire a été concerné doivent contacter leur établissement financier au numéro habituel associé à la carte ou au compte. Activez les alertes de transaction, examinez même les petits débits susceptibles de servir de test et remplacez la carte ou le compte si l’établissement le recommande. Les personnes dont le numéro de sécurité sociale a été concerné devraient envisager de demander le gel gratuit de leur dossier de crédit auprès des trois bureaux de crédit, ainsi que toute option supplémentaire de protection de l’identité proposée pour leur compte fiscal.

EY a déclaré avoir activé ses procédures de réponse à incident, de remédiation et de rétablissement après avoir identifié l’activité anormale, et avoir fait appel à une société indépendante de cybersécurité pour en examiner la nature et l’étendue. Au moment de la notification, l’entreprise a indiqué n’avoir connaissance d’aucune utilisation abusive ni d’aucune exposition supplémentaire des informations personnelles concernées. Cette déclaration ne signifie pas qu’il n’existe aucun risque; elle indique seulement qu’aucune utilisation abusive n’avait été confirmée à ce moment-là.

Les personnes concernées remplissant les critères d’éligibilité se sont vu proposer deux ans de services gratuits de surveillance du crédit, de surveillance de l’identité et de rétablissement de l’identité. Les destinataires doivent s’inscrire à l’aide du lien et du code figurant dans leur propre notification, plutôt que de saisir un numéro de sécurité sociale sur une page ouverte depuis une annonce dans un moteur de recherche ou un message inattendu. La surveillance ne remplace pas l’examen régulier des comptes existants, des relevés et des documents fiscaux.

Une personne en possession de documents d’assistance téléchargés peut se faire passer pour un professionnel d’EY en utilisant un détail exact concernant un projet, un client, une période fiscale ou un compte. Un message contenant des informations réelles ne provient pas nécessairement de l’expéditeur légitime. Si un message vous demande de téléverser un nouveau document, de modifier des coordonnées bancaires, d’activer un accès à distance ou de communiquer un code à usage unique, vérifiez la demande auprès d’un interlocuteur connu chez EY par un autre canal, plutôt que de répondre au message.

Méfiez-vous particulièrement des messages évoquant une « indemnisation liée à la violation de données », l’« activation d’une surveillance gratuite » ou le « renvoi de votre dossier fiscal ». N’activez pas les macros des pièces jointes et vérifiez le nom de domaine complet, caractère par caractère. Au sein d’une organisation cliente, coordonnez l’examen entre les équipes fiscales, juridiques, financières et de sécurité, car une seule pièce jointe d’assistance volée peut contenir des informations confidentielles appartenant à plusieurs services.

La fiche BR-0005180 du procureur général du Texas publie un total national exact de 10 895 personnes, dont 873 au Texas. Le nombre de personnes concernées au Texas est inclus dans le total national et ne doit pas être ajouté une seconde fois. Les personnes ayant reçu directement une notification d’EY doivent se référer aux catégories de données indiquées dans leur notification individuelle.

Cette fiche porte uniquement sur l’accès à la plateforme tierce d’assistance du 28 mars au 12 avril 2026 et se distingue des autres incidents cyber concernant EY. Le champ de date de fin du portail du Texas indique le 23 avril, date à laquelle, selon la lettre de l’entreprise, l’activité anormale a été identifiée; il ne remplace pas la période d’accès détaillée. Toute information supplémentaire concernant la plateforme, la méthode d’intrusion ou les catégories de données ne devra être ajoutée qu’après vérification.