Ernst & Young (EY) membenarkan adanya kebocoran data yang berawal dari sistem tiket dukungan (support ticket) milik tim IT-nya. Lewat sistem itu, karyawan biasa mengunggah dokumen agar tim IT bisa membantu menyelesaikan masalah teknis. Masalahnya, berkas yang menempel di tiket sering kali justru berisi data pajak klien.
Bagi EY, ini bukan insiden kecil. Firma itu termasuk empat besar penyedia jasa audit dan konsultasi dunia, melayani klien di lebih dari 150 negara dengan 406.000 karyawan dan pendapatan global US$53,2 miliar pada tahun lalu.
Sistem Tiket yang Berubah Jadi Celah
Menurut pemberitahuan resmi ke pelanggan, pihak ketiga yang tidak berwenang mengakses platform tersebut pada 28 Maret hingga 12 April 2026. Dalam rentang itu, sejumlah dokumen berhasil diunduh.
EY mengaku baru mendeteksi aktivitas mencurigakan di jaringannya pada 23 April 2026. Artinya, akses ilegal sudah berlangsung sekitar dua pekan sebelum akhirnya tercium. Perusahaan lalu menggandeng firma keamanan siber eksternal untuk menyelidiki insiden tersebut.
Data yang terdampak mencakup informasi pribadi dan keuangan yang termuat, atau dipakai untuk menyusun, pelaporan pajak klien. Dari dokumen pengajuan ke regulator, jenis datanya meliputi:
- nama dan alamat;
- nomor identifikasi pajak serta nomor jaminan sosial (SSN);
- alamat email;
- informasi rekening keuangan, termasuk data kartu kredit dan debit;
- kepemilikan investasi (investment holdings);
- isi berkas pajak klien.
Goldman Sachs hingga Man Group Ikut Terdampak
Skala insiden ternyata lebih luas dari perkiraan awal. Surat pemberitahuan yang dikirim pada akhir September 2026 mengungkap bahwa klien dari divisi manajemen kekayaan Goldman Sachs dan hedge fund asal Inggris, Man Group, termasuk korban.
Kedua institusi menegaskan sistem mereka sendiri tidak dibobol. Goldman Sachs menyatakan tengah mendesak EY membuktikan bahwa perbaikan keamanan berjalan efektif, lengkap dengan bukti objektif dan validasi pihak ketiga. Man Group juga menyebut insiden ini terpisah dari sistem internal mereka.
EY bersikeras kejadian ini tidak menyentuh sistem enterprise yang lebih luas dan tak mengganggu jalannya bisnis. Perusahaan sudah mengamankan platform, mengabari aparat penegak hukum federal, dan menyatakan belum menemukan bukti penyalahgunaan data.
Kompensasi dan Skala Korban
Sebagai langkah mitigasi, EY menawarkan pemantauan identitas dan layanan pemulihan lewat Experian selama 24 bulan. Korban diminta mendaftar sebelum 31 Oktober 2026 memakai kode yang tertera di surat.
Surat-surat itu ditandatangani Robb Canning, pejabat deputi etika dan kepatuhan EY yang berbasis di New York. Isinya menyebut data yang bocor mencakup nama, alamat, nomor identifikasi pajak, email, dan informasi keuangan.
EY belum membeberkan jumlah pasti korban. Namun pengajuan ke regulator di empat negara bagian Amerika Serikat—California, Texas, Massachusetts, dan Vermont—memberi angka dasar yang bisa diverifikasi: setidaknya 1.366 penduduk. Karena basis klien EY berisi perusahaan Fortune 500, firma private equity, dan institusi keuangan di lebih dari 150 negara, angka aslinya diperkirakan jauh lebih besar.
Kaitan dengan Celah Checkmarx
Dalam pengungkapan pertamanya pada Juli, EY menyebut insiden ini berkaitan dengan kerentanan pada perangkat lunak Checkmarx. Menurut EY, celah itu berdampak pada perusahaan, sejumlah klien, dan banyak organisasi lain.
Hingga kini belum ada kelompok pemeras data atau ransomware yang mengaku bertanggung jawab. EY pun menolak menyebut vendor platform tiket yang jadi pintu masuk serangan—sebuah keheningan yang menyulitkan organisasi lain menutup celah serupa.
Yang membuat insiden ini menonjol bukan cuma korban kelas kakapnya, tapi cara datanya bisa bocor. Tiket dukungan IT lazim dipakai jutaan organisasi untuk urusan teknis sehari-hari. Namun seiring waktu, dokumen klien yang dilampirkan ke tiket berubah jadi semacam arsip bayangan—data paling sensitif yang tersimpan tanpa kontrol akses, pembatasan, dan pemantauan seketat penyimpanan data utama.
Kasus ini jadi pengingat bahwa data paling sensitif kadang tersimpan di tempat paling tak terduga, seperti sistem helpdesk. Bagi firma jasa profesional, celah itu kini jadi sorotan baru.
Sources
- BleepingComputer — Ernst & Young discloses data breach after support system hack
- ZDNET — Ernst & Young breach exposes client tax data
- Tech Times — EY Tax Data Stolen Through Third-Party Help-Desk Platform
- Traders Union — EY breach exposes Goldman Sachs, Man Group clients
- Financial Times — Goldman Sachs and Man Group exposed in EY data breach
