EY expõe fiscais de clientes Goldman Sachs via fornecedor comprometido
Ernst & Young (EY)
claimed on · assessed on
A EY confirmou que um terceiro não autorizado acessou sua plataforma interna de suporte a serviços fiscais entre 28 de março e 12 de abril de 2026, exfiltrando documentos tributários de clientes — incluindo pessoas ligadas ao Goldman Sachs Wealth Management e ao fundo Man Group. O vetor foi uma vulnerabilidade em software Checkmarx (CVE-2026-33634, CVSS 9.4) explorada na cadeia de fornecimento; a autoria foi reivindicada pelo ShinyHunters, mas a EY não confirmou o grupo. O total de afetados permanece não divulgado; os registros estaduais confirmam um piso de pelo menos 2.700 residentes em quatro estados americanos.
Analytic judgments
Every assessment carries its confidence level explicitly, following intelligence practice (ICD 203 / FIRST). High confidence is not certainty; low confidence is not a guess — it’s the weight the available evidence supports.
O incidente é real e confirmado pela própria EY por meio de notificações regulatórias em quatro estados americanos (CA, TX, MA, VT) e de cartas enviadas a indivíduos afetados em setembro de 2026 — sem ambiguidade sobre a ocorrência do vazamento.
A atribuição ao ShinyHunters é alegação do grupo, não confirmada pela EY. O grupo tem histórico de campanhas reais em 2026 (Aura, Canvas), mas também de reivindicações exageradas em escala — a confirmação da autoria exige validação independente de artefatos ou TTPs.
A conexão entre o CVE-2026-33634 (cadeia de fornecimento Checkmarx/TeamPCP, março de 2026) e a intrusão na plataforma ITSM da EY é plausível — a janela de comprometimento do Checkmarx (23 de março) antecede o acesso à EY (28 de março) por apenas cinco dias — mas a EY não nomeou o fornecedor da plataforma nem confirmou a CVE como vetor exato.
O número real de afetados é significativamente maior do que o piso de 2.700 confirmado por notificações estaduais. A EY presta serviços fiscais a clientes de instituições financeiras globais; a class action estima dezenas a centenas de milhares de pessoas. A ausência de divulgação do total é uma escolha da EY, não uma limitação técnica.
O dado mais crítico — a plataforma ITSM comprometida nunca foi nomeada publicamente pela EY, mais de três meses após a divulgação. Isso impede que clientes de outras instâncias do mesmo produto avaliem sua própria exposição, o que representa falha de transparência com impacto na cadeia de terceiros.
A reivindicação do ShinyHunters de acesso adicional a Jira, GitHub e Azure da EY permanece totalmente não verificada. O grupo não publicou amostra de dados desses ambientes e a EY negou que seus sistemas corporativos mais amplos tenham sido afetados.
Analysis
O incidente central é um comprometimento de cadeia de fornecimento que atingiu a EY indiretamente: a plataforma violada não era um sistema da própria firma de auditoria, mas uma ferramenta de ITSM de terceiros usada por equipes internas para suporte a trabalho fiscal de clientes. O design desse fluxo — em que tickets de suporte carregavam anexos com declarações de imposto e dados financeiros de clientes — criou um repositório de dados sensíveis dentro de uma infraestrutura não projetada para armazená-los. O atacante passou duas semanas dentro do sistema antes de ser detectado, e a EY só identificou a intrusão onze dias após o encerramento da janela de acesso.
A atribuição ao Checkmarx como vetor de entrada é reportada pela imprensa (FT, CybersecurityNews, GBHackers), mas a EY não nomeou publicamente nem o fornecedor da plataforma ITSM nem confirmou a CVE específica. O que os registros técnicos mostram é que a campanha TeamPCP (CVE-2026-33634, CVSS 9.4) comprometeu componentes do Checkmarx a partir de 23 de março de 2026 — cinco dias antes do início do acesso não autorizado à EY. A cadeia lógica é coerente: credenciais CI/CD roubadas do ambiente Checkmarx poderiam ter sido usadas para acessar a plataforma ITSM da EY se esta utilizava integrações daquele fornecedor. Mas sem confirmação da EY, essa permanece inferência de confiança moderada, não fato estabelecido.
A reivindicação do ShinyHunters, feita em 27 de julho, acrescenta uma camada de ambiguidade. O grupo afirmou à BleepingComputer ter obtido credenciais via supply-chain attack e usado essas credenciais para acessar Jira, GitHub e Azure da EY — acesso muito mais amplo do que o confirmado pela firma. A EY não confirmou o grupo como responsável e não validou as alegações de acesso a sistemas corporativos adicionais. O deadline de 31 de julho passou sem que nenhum dado tenha aparecido publicamente na data exata; semanas depois, DataBreach.com indexou aproximadamente 1,2 milhão de registros ligados ao incidente — mas a procedência e a autenticidade desse conjunto de dados não foram verificadas por fonte independente de credibilidade A ou B.
O dado mais revelador do incidente é o que a EY ainda não divulgou: o nome da plataforma ITSM comprometida, o número total de indivíduos afetados globalmente, e se o impacto se estende além de clientes americanos. Os registros estaduais (CA, TX, MA, VT) documentam um piso de aproximadamente 2.700 residentes nos quatro estados — número que a classe-action descreve como 'fração' do real, estimando dezenas a centenas de milhares. A EY tem base global com 406.000 funcionários e serve instituições financeiras em mais de 150 países; a contenção do impacto a quatro estados americanos é implausível como universo completo.
O nosso registro anterior marcava o país como BR — esse dado está incorreto. A EY é uma rede global com sede em Londres; a entidade afetada é Ernst & Young LLP (EUA). Não há evidência de que o incidente tenha afetado operações ou clientes brasileiros. O país correto para fins de classification é US. A ausência de qualquer envolvimento da ANPD é consistente com essa correção.
Timeline
- 19 Mar 2026Campanha TeamPCP inicia comprometimento da cadeia de fornecimento do Trivy (Aqua Security); credenciais roubadas são usadas em ataques subsequentes ao Checkmarx.
- 23 Mar 2026Onda Checkmarx da campanha TeamPCP: componentes maliciosos (ast-results v2.53.0, cx-dev-assist v1.7.0) publicados via conta comprometida. CVE-2026-33634 (CVSS 9.4) registrada para a campanha.
- 28 Mar 2026Acesso não autorizado à plataforma ITSM de terceiros usada pela EY para suporte a serviços fiscais tem início confirmado. Alguns filings regulatórios citam 26 de março como data de início alternativa.
- 12 Apr 2026Último acesso não autorizado registrado à plataforma ITSM da EY, conforme apurado na investigação forense.
- 23 Apr 2026Equipe de segurança da EY detecta atividade anômala na plataforma — onze dias após o encerramento da janela de acesso do atacante.
- 09 May 2026TeamPCP publica versão comprometida do plugin Jenkins AST do Checkmarx (2026.5.09) no Jenkins Marketplace — segundo ataque à cadeia de fornecimento do mesmo fornecedor em seis semanas.
- 13 Jul 2026EY envia cartas de notificação de data breach a indivíduos afetados via correio e e-mail.
- 15 Jul 2026EY protocola notificação de breach na California Attorney General's Office. Breach também notificado no Texas (17/jul), Massachusetts e Vermont (16/jul).
- 20 Jul 2026Class action proposta contra a EY por indivíduos afetados; law firms iniciam investigações de ação coletiva.
- 27 Jul 2026ShinyHunters adiciona a EY ao seu site de vazamentos na dark web, reivindica a autoria e dá prazo até 31 de julho para a EY negociar, sob ameaça de publicação de todos os dados roubados.
- 31 Jul 2026Prazo do ShinyHunters expira. Fontes divergem: DataBreach.com registra publicação dos dados (~1,2M registros indexados); outras fontes (Cloudskope, agosto de 2026) indicam que nenhum dado apareceu publicamente até aquela data.
- 24 Sep 2026EY e Goldman Sachs enviam novas cartas de notificação a clientes da divisão Goldman Sachs Wealth Management e do fundo Man Group, nomeando explicitamente as instituições pela primeira vez.
- 07 Oct 2026Financial Times publica reportagem sobre o alargamento do incidente a clientes Goldman Sachs e Man Group; cobertura ampla em veículos especializados.
Data involved
Impact
Indivíduos cujos dados fiscais estavam em poder da EY — principalmente clientes de wealth management do Goldman Sachs e do fundo Man Group — tiveram nomes, endereços, SSNs (equivalente ao CPF americano), datas de nascimento, habilitações, e-mails, números de conta financeira e dados de cartão de crédito/débito expostos. Muitos desses indivíduos nunca tiveram relação direta com a EY: seus dados foram fornecidos à firma pelas instituições financeiras no contexto de serviços fiscais relacionados a investimentos. Goldman Sachs confirmou que seus sistemas internos e os ativos de clientes não foram afetados; Man Group fez declaração equivalente. O risco concreto é concentrado em: (1) fraude de identidade e declarações fiscais fraudulentas em nome dos afetados, dado que SSNs e dados de renda estão expostos; (2) spear phishing altamente personalizado usando os dados financeiros e de investimento como credencial de legitimidade; (3) uso em fraudes de cartão e acesso não autorizado a contas financeiras. A EY está oferecendo 24 meses de monitoramento de crédito e restauração de identidade via Experian aos afetados confirmados.
Technical links
Recommendations
- Organizações que usam plataformas de ITSM (ServiceNow, Jira Service Management, Zendesk, etc.) devem realizar revisão imediata de quais tipos de arquivo são permitidos como anexos em tickets de suporte — dados fiscais, financeiros e de identidade não deveriam transitar por sistemas de helpdesk sem controles DLP específicos.
- Qualquer pipeline de CI/CD que utilizou componentes Checkmarx (ast-github-action, kics-github-action, ast-results, cx-dev-assist) entre março e maio de 2026 deve ser tratado como potencialmente comprometido: rotacionar imediatamente todos os segredos, tokens e credenciais de cloud acessíveis nesses ambientes.
- Instituições financeiras que compartilham dados de clientes com prestadores de serviços fiscais (auditoras, consultorias) devem revisar contratos de processamento de dados para exigir: inventário de subprocessadores, notificação em até 72h de qualquer suspeita de incidente, e proibição de retenção de documentos de clientes em sistemas de suporte operacional.
- Clientes da Goldman Sachs Wealth Management e Man Group que receberam notificações de breach devem ativar alertas de crédito e considerar congelamento de crédito nos três bureaus (Equifax, Experian, TransUnion), além de monitorar declarações de imposto futuras para sinais de filing fraudulento.
- Equipes de threat intelligence devem rastrear ativamente fóruns underground para verificar se os dados indexados pelo DataBreach.com como 'publicados' após o deadline de 31 de julho são autênticos e completos — isso determina se o risco de uso dos dados por terceiros já é real ou ainda potencial.
Intelligence gaps
What we still don’t know. A report that doesn’t declare its holes is selling, not analyzing.
A EY não divulgou o número total de indivíduos afetados globalmente — a divulgação desse número por meio de filing federal ou comunicado da firma resolveria essa lacuna.
O nome da plataforma ITSM de terceiros comprometida permanece não revelado — a identificação do fornecedor permitiria que outros clientes do mesmo produto avaliassem sua exposição.
A EY não confirmou se o ShinyHunters foi o grupo responsável nem forneceu TTPs que confirmassem ou refutassem a alegação — análise forense compartilhada com pesquisadores ou reguladores resolveria a atribuição.
A ligação exata entre CVE-2026-33634 (Checkmarx/TeamPCP) e a intrusão na ITSM da EY não foi tecnicamente documentada em fonte pública — um advisory técnico da EY ou do fornecedor da plataforma esclareceria o vetor inicial.
Não está claro se o impacto se estende a clientes de outras jurisdições além dos EUA — notificações a reguladores europeus (ICO, CNIL, ANPD) ou ausência delas esclareceria o escopo geográfico.
Os dados alegadamente publicados pelo ShinyHunters após 31 de julho (~1,2M de registros indexados por DataBreach.com) não foram verificados quanto à autenticidade por fonte independente — análise forense do conjunto de dados resolveria se o volume alegado é real ou inflado.
Sources and rating
Admiralty rating (NATO standard, used by CERT-EU and OpenCTI): the letter rates SOURCE reliability (A completely reliable to F not rated); the number rates INFORMATION credibility (1 confirmed to 6 cannot be judged). Both dimensions are assessed independently — a good source does not make weak information reliable.