EY expõe fiscais de clientes Goldman Sachs via fornecedor comprometido
Ernst & Young (EY)
alegado el · verificado el
A EY confirmou que um terceiro não autorizado acessou sua plataforma interna de suporte a serviços fiscais entre 28 de março e 12 de abril de 2026, exfiltrando documentos tributários de clientes — incluindo pessoas ligadas ao Goldman Sachs Wealth Management e ao fundo Man Group. O vetor foi uma vulnerabilidade em software Checkmarx (CVE-2026-33634, CVSS 9.4) explorada na cadeia de fornecimento; a autoria foi reivindicada pelo ShinyHunters, mas a EY não confirmou o grupo. O total de afetados permanece não divulgado; os registros estaduais confirmam um piso de pelo menos 2.700 residentes em quatro estados americanos.
Juicios analíticos
Cada evaluación viene con su nivel de confianza declarado, según la práctica de inteligencia (ICD 203 / FIRST). Confianza alta no es certeza; confianza baja no es una suposición — es el peso que sostiene la evidencia disponible.
O incidente é real e confirmado pela própria EY por meio de notificações regulatórias em quatro estados americanos (CA, TX, MA, VT) e de cartas enviadas a indivíduos afetados em setembro de 2026 — sem ambiguidade sobre a ocorrência do vazamento.
A atribuição ao ShinyHunters é alegação do grupo, não confirmada pela EY. O grupo tem histórico de campanhas reais em 2026 (Aura, Canvas), mas também de reivindicações exageradas em escala — a confirmação da autoria exige validação independente de artefatos ou TTPs.
A conexão entre o CVE-2026-33634 (cadeia de fornecimento Checkmarx/TeamPCP, março de 2026) e a intrusão na plataforma ITSM da EY é plausível — a janela de comprometimento do Checkmarx (23 de março) antecede o acesso à EY (28 de março) por apenas cinco dias — mas a EY não nomeou o fornecedor da plataforma nem confirmou a CVE como vetor exato.
O número real de afetados é significativamente maior do que o piso de 2.700 confirmado por notificações estaduais. A EY presta serviços fiscais a clientes de instituições financeiras globais; a class action estima dezenas a centenas de milhares de pessoas. A ausência de divulgação do total é uma escolha da EY, não uma limitação técnica.
O dado mais crítico — a plataforma ITSM comprometida nunca foi nomeada publicamente pela EY, mais de três meses após a divulgação. Isso impede que clientes de outras instâncias do mesmo produto avaliem sua própria exposição, o que representa falha de transparência com impacto na cadeia de terceiros.
A reivindicação do ShinyHunters de acesso adicional a Jira, GitHub e Azure da EY permanece totalmente não verificada. O grupo não publicou amostra de dados desses ambientes e a EY negou que seus sistemas corporativos mais amplos tenham sido afetados.
Análisis
O incidente central é um comprometimento de cadeia de fornecimento que atingiu a EY indiretamente: a plataforma violada não era um sistema da própria firma de auditoria, mas uma ferramenta de ITSM de terceiros usada por equipes internas para suporte a trabalho fiscal de clientes. O design desse fluxo — em que tickets de suporte carregavam anexos com declarações de imposto e dados financeiros de clientes — criou um repositório de dados sensíveis dentro de uma infraestrutura não projetada para armazená-los. O atacante passou duas semanas dentro do sistema antes de ser detectado, e a EY só identificou a intrusão onze dias após o encerramento da janela de acesso.
A atribuição ao Checkmarx como vetor de entrada é reportada pela imprensa (FT, CybersecurityNews, GBHackers), mas a EY não nomeou publicamente nem o fornecedor da plataforma ITSM nem confirmou a CVE específica. O que os registros técnicos mostram é que a campanha TeamPCP (CVE-2026-33634, CVSS 9.4) comprometeu componentes do Checkmarx a partir de 23 de março de 2026 — cinco dias antes do início do acesso não autorizado à EY. A cadeia lógica é coerente: credenciais CI/CD roubadas do ambiente Checkmarx poderiam ter sido usadas para acessar a plataforma ITSM da EY se esta utilizava integrações daquele fornecedor. Mas sem confirmação da EY, essa permanece inferência de confiança moderada, não fato estabelecido.
A reivindicação do ShinyHunters, feita em 27 de julho, acrescenta uma camada de ambiguidade. O grupo afirmou à BleepingComputer ter obtido credenciais via supply-chain attack e usado essas credenciais para acessar Jira, GitHub e Azure da EY — acesso muito mais amplo do que o confirmado pela firma. A EY não confirmou o grupo como responsável e não validou as alegações de acesso a sistemas corporativos adicionais. O deadline de 31 de julho passou sem que nenhum dado tenha aparecido publicamente na data exata; semanas depois, DataBreach.com indexou aproximadamente 1,2 milhão de registros ligados ao incidente — mas a procedência e a autenticidade desse conjunto de dados não foram verificadas por fonte independente de credibilidade A ou B.
O dado mais revelador do incidente é o que a EY ainda não divulgou: o nome da plataforma ITSM comprometida, o número total de indivíduos afetados globalmente, e se o impacto se estende além de clientes americanos. Os registros estaduais (CA, TX, MA, VT) documentam um piso de aproximadamente 2.700 residentes nos quatro estados — número que a classe-action descreve como 'fração' do real, estimando dezenas a centenas de milhares. A EY tem base global com 406.000 funcionários e serve instituições financeiras em mais de 150 países; a contenção do impacto a quatro estados americanos é implausível como universo completo.
O nosso registro anterior marcava o país como BR — esse dado está incorreto. A EY é uma rede global com sede em Londres; a entidade afetada é Ernst & Young LLP (EUA). Não há evidência de que o incidente tenha afetado operações ou clientes brasileiros. O país correto para fins de classification é US. A ausência de qualquer envolvimento da ANPD é consistente com essa correção.
Cronología
- 19 mar 2026Campanha TeamPCP inicia comprometimento da cadeia de fornecimento do Trivy (Aqua Security); credenciais roubadas são usadas em ataques subsequentes ao Checkmarx.
- 23 mar 2026Onda Checkmarx da campanha TeamPCP: componentes maliciosos (ast-results v2.53.0, cx-dev-assist v1.7.0) publicados via conta comprometida. CVE-2026-33634 (CVSS 9.4) registrada para a campanha.
- 28 mar 2026Acesso não autorizado à plataforma ITSM de terceiros usada pela EY para suporte a serviços fiscais tem início confirmado. Alguns filings regulatórios citam 26 de março como data de início alternativa.
- 12 abr 2026Último acesso não autorizado registrado à plataforma ITSM da EY, conforme apurado na investigação forense.
- 23 abr 2026Equipe de segurança da EY detecta atividade anômala na plataforma — onze dias após o encerramento da janela de acesso do atacante.
- 09 may 2026TeamPCP publica versão comprometida do plugin Jenkins AST do Checkmarx (2026.5.09) no Jenkins Marketplace — segundo ataque à cadeia de fornecimento do mesmo fornecedor em seis semanas.
- 13 jul 2026EY envia cartas de notificação de data breach a indivíduos afetados via correio e e-mail.
- 15 jul 2026EY protocola notificação de breach na California Attorney General's Office. Breach também notificado no Texas (17/jul), Massachusetts e Vermont (16/jul).
- 20 jul 2026Class action proposta contra a EY por indivíduos afetados; law firms iniciam investigações de ação coletiva.
- 27 jul 2026ShinyHunters adiciona a EY ao seu site de vazamentos na dark web, reivindica a autoria e dá prazo até 31 de julho para a EY negociar, sob ameaça de publicação de todos os dados roubados.
- 31 jul 2026Prazo do ShinyHunters expira. Fontes divergem: DataBreach.com registra publicação dos dados (~1,2M registros indexados); outras fontes (Cloudskope, agosto de 2026) indicam que nenhum dado apareceu publicamente até aquela data.
- 24 sep 2026EY e Goldman Sachs enviam novas cartas de notificação a clientes da divisão Goldman Sachs Wealth Management e do fundo Man Group, nomeando explicitamente as instituições pela primeira vez.
- 07 oct 2026Financial Times publica reportagem sobre o alargamento do incidente a clientes Goldman Sachs e Man Group; cobertura ampla em veículos especializados.
Datos involucrados
Impacto
Indivíduos cujos dados fiscais estavam em poder da EY — principalmente clientes de wealth management do Goldman Sachs e do fundo Man Group — tiveram nomes, endereços, SSNs (equivalente ao CPF americano), datas de nascimento, habilitações, e-mails, números de conta financeira e dados de cartão de crédito/débito expostos. Muitos desses indivíduos nunca tiveram relação direta com a EY: seus dados foram fornecidos à firma pelas instituições financeiras no contexto de serviços fiscais relacionados a investimentos. Goldman Sachs confirmou que seus sistemas internos e os ativos de clientes não foram afetados; Man Group fez declaração equivalente. O risco concreto é concentrado em: (1) fraude de identidade e declarações fiscais fraudulentas em nome dos afetados, dado que SSNs e dados de renda estão expostos; (2) spear phishing altamente personalizado usando os dados financeiros e de investimento como credencial de legitimidade; (3) uso em fraudes de cartão e acesso não autorizado a contas financeiras. A EY está oferecendo 24 meses de monitoramento de crédito e restauração de identidade via Experian aos afetados confirmados.
Enlaces técnicos
Recomendaciones
- Organizações que usam plataformas de ITSM (ServiceNow, Jira Service Management, Zendesk, etc.) devem realizar revisão imediata de quais tipos de arquivo são permitidos como anexos em tickets de suporte — dados fiscais, financeiros e de identidade não deveriam transitar por sistemas de helpdesk sem controles DLP específicos.
- Qualquer pipeline de CI/CD que utilizou componentes Checkmarx (ast-github-action, kics-github-action, ast-results, cx-dev-assist) entre março e maio de 2026 deve ser tratado como potencialmente comprometido: rotacionar imediatamente todos os segredos, tokens e credenciais de cloud acessíveis nesses ambientes.
- Instituições financeiras que compartilham dados de clientes com prestadores de serviços fiscais (auditoras, consultorias) devem revisar contratos de processamento de dados para exigir: inventário de subprocessadores, notificação em até 72h de qualquer suspeita de incidente, e proibição de retenção de documentos de clientes em sistemas de suporte operacional.
- Clientes da Goldman Sachs Wealth Management e Man Group que receberam notificações de breach devem ativar alertas de crédito e considerar congelamento de crédito nos três bureaus (Equifax, Experian, TransUnion), além de monitorar declarações de imposto futuras para sinais de filing fraudulento.
- Equipes de threat intelligence devem rastrear ativamente fóruns underground para verificar se os dados indexados pelo DataBreach.com como 'publicados' após o deadline de 31 de julho são autênticos e completos — isso determina se o risco de uso dos dados por terceiros já é real ou ainda potencial.
Lagunas de inteligencia
Lo que aún no sabemos. Un informe que no declara sus huecos está vendiendo, no analizando.
A EY não divulgou o número total de indivíduos afetados globalmente — a divulgação desse número por meio de filing federal ou comunicado da firma resolveria essa lacuna.
O nome da plataforma ITSM de terceiros comprometida permanece não revelado — a identificação do fornecedor permitiria que outros clientes do mesmo produto avaliassem sua exposição.
A EY não confirmou se o ShinyHunters foi o grupo responsável nem forneceu TTPs que confirmassem ou refutassem a alegação — análise forense compartilhada com pesquisadores ou reguladores resolveria a atribuição.
A ligação exata entre CVE-2026-33634 (Checkmarx/TeamPCP) e a intrusão na ITSM da EY não foi tecnicamente documentada em fonte pública — um advisory técnico da EY ou do fornecedor da plataforma esclareceria o vetor inicial.
Não está claro se o impacto se estende a clientes de outras jurisdições além dos EUA — notificações a reguladores europeus (ICO, CNIL, ANPD) ou ausência delas esclareceria o escopo geográfico.
Os dados alegadamente publicados pelo ShinyHunters após 31 de julho (~1,2M de registros indexados por DataBreach.com) não foram verificados quanto à autenticidade por fonte independente — análise forense do conjunto de dados resolveria se o volume alegado é real ou inflado.
Fuentes y evaluación
Notación Admiralty (estándar NATO, usado por CERT-EU y OpenCTI): la letra evalúa la confiabilidad de la FUENTE (A completamente confiable a F no evaluada); el número evalúa la credibilidad de la INFORMACIÓN (1 confirmada a 6 no juzgable). Ambas dimensiones se evalúan de forma independiente.