El impacto de la cadena de suministro: Ernst & Young bajo el foco
La firma global de servicios profesionales Ernst & Young (EY) ha comenzado a notificar a sus clientes sobre una brecha de datos significativa. El incidente no se originó en sus sistemas centrales, sino a través del compromiso de una plataforma de gestión de tickets de soporte de terceros utilizada por su personal de TI.
Este suceso subraya una vez más la vulnerabilidad de las grandes corporaciones ante los riesgos de la cadena de suministro, donde la seguridad de los proveedores externos se convierte en el eslabón más débil de la infraestructura defensiva.
Cronología del incidente y detección
Según los informes de la compañía, el acceso no autorizado se produjo entre el 28 de marzo y el 12 de abril de 2026. No fue hasta el 23 de abril cuando el equipo de seguridad de EY detectó actividad anómala en sus redes, iniciando una investigación exhaustiva con el apoyo de expertos externos en ciberseguridad.
La investigación determinó que un tercero no autorizado logró acceder a la plataforma de soporte y descargar múltiples documentos. Entre la información comprometida se encuentran datos personales y financieros utilizados para la preparación de declaraciones de impuestos de los clientes.
Análisis técnico: El riesgo de las plataformas de soporte
Aunque EY no ha revelado el nombre específico del proveedor afectado, las plataformas de soporte técnico (como ServiceNow o Atlassian, mencionadas en foros especializados) suelen ser objetivos de alto valor para los atacantes. Estas herramientas a menudo almacenan:
- Documentación técnica: Detalles sobre la arquitectura de red y vulnerabilidades internas.
- Archivos adjuntos: Documentos confidenciales subidos por los usuarios para resolver problemas técnicos.
- Credenciales: En ocasiones, información de acceso compartida de forma insegura dentro de los tickets.
En este caso, el hecho de que los documentos descargados contuvieran información fiscal sugiere que los protocolos de prevención de pérdida de datos (DLP) o las políticas de purga de archivos adjuntos en la herramienta de terceros no fueron suficientes para mitigar el impacto.
Respuesta y mitigación para las empresas
EY ha asegurado que el acceso no autorizado ha sido eliminado y que se ha notificado a las autoridades federales. Como medida de compensación, la firma está ofreciendo a los clientes afectados 24 meses de servicios de monitoreo de identidad y restauración a través de Experian.
Para el sector empresarial, este incidente deja lecciones críticas sobre la gestión de proveedores:
- Auditorías de Terceros: No basta con asegurar el perímetro propio; es imperativo exigir certificaciones de seguridad (como ISO 27001) a todos los proveedores de software como servicio (SaaS).
- Cifrado y Minimización: Evitar subir documentos con datos sensibles a plataformas de soporte a menos que existan canales de transferencia cifrados y políticas de borrado automático.
- Monitoreo de Actividad: La detección tardía (casi un mes después del inicio del ataque) resalta la necesidad de implementar soluciones de detección y respuesta (EDR/XDR) que vigilen las interacciones con plataformas externas.
Desde Intedya, recordamos que la ciberseguridad es un proceso continuo que debe abarcar a todos los actores que interactúan con la información de la organización. La confianza en un tercero nunca debe sustituir a la verificación técnica constante.
Fuentes
- Bleeping Computer — Ernst & Young discloses data breach after support system hack
https://www.bleepingcomputer.com/news/security/ernst-and-young-discloses-data-breach-after-support-system-hack/