新聞

根據金融時報（Financial Times）報導，會計及顧問服務業者美國EY今年春天發生的資料外洩事件，已波及高盛（Goldman Sachs）、英國投資業者英仕曼集團（Man Group），以及房地產開發與投資業者鐵獅門（Tishman Speyer）的客戶。部分客戶的個人及財務資料因此外洩。

美國EY於4月23日發現，其使用的第三方IT支援工單系統遭到未經授權存取，攻擊者在3月28日至4月12日期間下載了客戶資料。EY表示，事件涉及Checkmarx軟體漏洞。美國EY於7月向美國部分州主管機關通報事故，並陸續向受影響個人發出通知，9月底又向更多受影響個人發出通知。

根據金融時報報導，這波通知涉及高盛、英仕曼集團及鐵獅門等企業的客戶。外洩資料包括姓名、住址、電子郵件、社會安全號碼（SSN）、納稅人識別號碼（Tax ID）、銀行帳戶與信用卡資訊，以及稅務申報文件等。不過，各企業及個別客戶受影響的資料類型不盡相同。高盛與英仕曼集團均表示，自身系統未遭入侵，高盛也強調客戶資產並未受到影響。

美國EY先前向美國加州、德州、佛蒙特州及麻薩諸塞州等主管機關通報受影響人數，初期揭露規模為數千人。不過，根據資料外洩資訊網站DataBreach.com的分析，ShinyHunters取得的資料包含超過120萬筆電子郵件地址、704,241筆電話號碼及394,042筆姓名。這些數字代表不同類型的資料筆數，不能直接視為實際受害人數。

駭客組織ShinyHunters於7月27日宣稱發動這起攻擊，目的是勒索贖金。該組織聲稱透過EY的第三方服務供應商取得存取所需的憑證，進而入侵EY使用的Jira、GitHub及Azure環境。不過，ShinyHunters並未透露涉及哪家第三方供應商，其宣稱的入侵途徑也尚未獲得獨立證實。