EY में 2026 की डेटा सेंध

दस्तावेज़ के आधार पर, डाउनलोड की गई जानकारी में किसी व्यक्ति का नाम, पता, सोशल सिक्योरिटी नंबर, वित्तीय खाते का नंबर और क्रेडिट या डेबिट कार्ड का नंबर शामिल हो सकता था। EY ने यह भी बताया कि कर रिटर्न तैयार करने में इस्तेमाल होने वाले अन्य व्यक्तिगत और वित्तीय विवरण भी इसमें शामिल रहे हो सकते हैं। इस प्रविष्टि में केवल उन्हीं श्रेणियों को सूचीबद्ध किया गया है जिनकी पुष्टि कंपनी और नियामकीय सूचनाओं से होती है।

कंपनी ने यह नहीं कहा कि हर ग्राहक के हर दस्तावेज़ में सभी तरह के विवरण मौजूद थे। पासवर्ड, बायोमेट्रिक डेटा और चिकित्सा रिकॉर्ड बताए गए दायरे में शामिल नहीं थे, इसलिए इन्हें डेटा श्रेणियों में नहीं जोड़ा गया है। फिर भी, सोशल सिक्योरिटी नंबर, वित्तीय खातों और कर संबंधी जानकारी का एक साथ उजागर होना पहचान की चोरी, फ़र्ज़ी कर रिटर्न, धोखाधड़ी से नए खाते खोलने और लक्षित वित्तीय ठगी का गंभीर जोखिम पैदा करता है।

यह सेंध EY की मुख्य सार्वजनिक वेबसाइट में नहीं, बल्कि कर संबंधी सहायता अनुरोधों के लिए इस्तेमाल किए जाने वाले एक बाहरी सेवा-प्रबंधन प्लेटफ़ॉर्म में लगी थी। सहायता टिकट प्रणालियों में स्क्रीनशॉट, संलग्न फ़ाइलें और ग्राहक से जुड़ी विस्तृत जानकारी इकट्ठा हो सकती है। इससे सामान्य दिखने वाला सहायता अनुरोध भी अपेक्षा से कहीं अधिक संवेदनशील हो सकता है। यह घटना बताती है कि सहायता अनुरोधों में संलग्न फ़ाइलों के लिए भी मुख्य व्यावसायिक प्रणालियों के समान डेटा वर्गीकरण, डेटा रखने की अवधि पर नियंत्रण और पहुँच की सुरक्षा ज़रूरी है।

EY ने यह नहीं बताया कि हमलावर ने पहली बार प्लेटफ़ॉर्म में कैसे प्रवेश किया, न किसी सुरक्षा खामी का नाम बताया और न ही ज़िम्मेदार साइबर हमलावर की पहचान उजागर की। ऐसी कोई पुष्ट रिपोर्ट भी नहीं है कि किसी ज्ञात रैनसमवेयर या जबरन वसूली करने वाले समूह ने इस घटना की ज़िम्मेदारी ली हो। यह रिकॉर्ड हमले के तरीके के बारे में अटकलें नहीं लगाता और केवल प्लेटफ़ॉर्म तक पहुँच, उसकी अवधि और डाउनलोड किए गए दस्तावेज़ों से जुड़े सत्यापित तथ्यों तक सीमित है।

कर संबंधी दस्तावेज़ों में नियोक्ता, आय, खाते और पहचान से जुड़े विवरण एक ही जगह मौजूद हो सकते हैं। हमलावर उनका इस्तेमाल कर रिफ़ंड का फ़र्ज़ी दावा दाखिल करने, ग्राहक की असली जानकारी के आधार पर बहुत विश्वसनीय लगने वाले संदेश लिखने या कर सलाहकार बनकर संपर्क करने के लिए कर सकता है। अगर आपको कर एजेंसी से कोई अप्रत्याशित सूचना, एक ही रिटर्न दोबारा दाखिल होने की चेतावनी या ऐसा रिफ़ंड अनुरोध मिले जिसे आप नहीं पहचानते, तो कर प्राधिकरण के आधिकारिक माध्यम से तुरंत उस पर आपत्ति दर्ज करें।

जिन लोगों के कार्ड या बैंक खाते का नंबर प्रभावित हुआ है, उन्हें कार्ड या खाते के लिए पहले से ज्ञात नंबर पर वित्तीय संस्थान से संपर्क करना चाहिए। लेनदेन के अलर्ट चालू करें, जाँच के लिए किए गए छोटे शुल्कों पर भी ध्यान दें और संस्थान की सलाह मिलने पर कार्ड या खाता बदलें। जिन लोगों का सोशल सिक्योरिटी नंबर इसमें शामिल था, उन्हें तीनों क्रेडिट ब्यूरो में निःशुल्क क्रेडिट फ़्रीज़ करवाने और अपने कर खाते के लिए उपलब्ध किसी अतिरिक्त पहचान-सुरक्षा विकल्प का उपयोग करने पर विचार करना चाहिए।

EY ने कहा कि असामान्य गतिविधि का पता चलने के बाद उसने घटना से निपटने, समस्याएँ दूर करने और पुनर्बहाली की प्रक्रियाएँ शुरू कीं। घटना की प्रकृति और दायरे की जाँच के लिए उसने एक स्वतंत्र साइबर सुरक्षा फ़र्म की सेवाएँ भी लीं। सूचना जारी किए जाने तक, कंपनी ने कहा कि उसे प्रभावित व्यक्तिगत जानकारी के दुरुपयोग या उसके और उजागर होने की जानकारी नहीं थी। इस कथन का मतलब यह नहीं है कि कोई जोखिम नहीं है; यह केवल बताता है कि उस समय तक दुरुपयोग की पुष्टि नहीं हुई थी।

पात्र प्रभावित लोगों को दो वर्षों के लिए निःशुल्क क्रेडिट निगरानी, पहचान की निगरानी और पहचान बहाली सेवाओं की पेशकश की गई। सूचना पाने वालों को उसमें दिए गए लिंक और कोड का इस्तेमाल करके पंजीकरण करना चाहिए। खोज परिणामों के विज्ञापन या किसी अप्रत्याशित संदेश के ज़रिए खुले पृष्ठ पर अपना सोशल सिक्योरिटी नंबर दर्ज नहीं करना चाहिए। निगरानी सेवाएँ मौजूदा खातों, विवरणों और कर रिकॉर्ड की नियमित समीक्षा का विकल्प नहीं हैं।

डाउनलोड किए गए सहायता दस्तावेज़ रखने वाला कोई व्यक्ति परियोजना, ग्राहक, कर अवधि या खाते का सही विवरण इस्तेमाल करके EY का पेशेवर होने का दिखावा कर सकता है। किसी संदेश में असली जानकारी होने का मतलब यह नहीं कि वह असली प्रेषक से ही आया है। नया दस्तावेज़ अपलोड करने, बैंकिंग विवरण बदलने, रिमोट एक्सेस चालू करने या एक बार इस्तेमाल होने वाला कोड साझा करने के अनुरोधों की पुष्टि करें। संदेश का जवाब देने के बजाय किसी अलग माध्यम से EY के अपने परिचित संपर्क से बात करें।

“डेटा सेंध का मुआवज़ा”, “निःशुल्क निगरानी चालू करें” या “अपनी कर फ़ाइल दोबारा जमा करें” जैसे संदेशों के प्रति विशेष सावधानी बरतें। संलग्न फ़ाइलों में मैक्रो चालू न करें और पूरे डोमेन का एक-एक अक्षर जाँचें। ग्राहक संगठन के भीतर कर, कानूनी, वित्त और सुरक्षा टीमों के बीच समीक्षा का समन्वय करें, क्योंकि चोरी हुई सहायता अनुरोध की एक संलग्न फ़ाइल में कई विभागों की गोपनीय जानकारी हो सकती है।

टेक्सस के अटॉर्नी जनरल के रिकॉर्ड BR-0005180 में देश भर में प्रभावित लोगों की सटीक कुल संख्या 10,895 प्रकाशित की गई है, जिनमें से 873 टेक्सस के हैं। टेक्सस की संख्या देशव्यापी कुल में शामिल है और उसे दोबारा नहीं जोड़ा जाता। सीधे सूचना पाने वालों को अपने व्यक्तिगत EY नोटिस में बताई गई डेटा श्रेणियों पर भरोसा करना चाहिए।

यह रिकॉर्ड केवल 28 मार्च से 12 अप्रैल 2026 के बीच तृतीय-पक्ष सहायता प्लेटफ़ॉर्म तक हुई पहुँच को कवर करता है और EY से जुड़ी अन्य साइबर घटनाओं से अलग है। टेक्सस पोर्टल के समाप्ति-तिथि फ़ील्ड में दी गई 23 अप्रैल की तारीख वही है जिस दिन कंपनी के पत्र के अनुसार असामान्य गतिविधि का पता चला था; यह पहुँच की विस्तृत अवधि का स्थान नहीं लेती। भविष्य में प्लेटफ़ॉर्म, घुसपैठ के तरीके या डेटा श्रेणियों से जुड़े विवरण केवल सत्यापित होने पर ही जोड़े जाने चाहिए।