Vazamento de Dados na Ernst & Young expõe informações confidenciais de clientes

O recente vazamento de dados na Ernst & Young, decorrente da invasão a uma plataforma de tickets de suporte de terceiros, joga luz sobre os desafios complexos da governança de segurança em ambientes digitais expandidos. A detecção tardia do incidente, quase um mês após o início do acesso não autorizado (entre 28 de março e 12 de abril, com detecção em 23 de abril), aponta para falhas críticas em processos de monitoramento e resposta a incidentes. Para líderes de TI e C-levels, o caso sublinha a necessidade urgente de uma visão holística sobre a superfície de ataque, que vai além dos perímetros internos.

A dependência crescente de serviços de nuvem e plataformas de terceiros para operações essenciais introduz riscos inerentes à cadeia de suprimentos de tecnologia. Informações fiscais, pessoais e financeiras de clientes, agora expostas, evidenciam que a due diligence na seleção de fornecedores deve ser contínua e rigorosa, estendendo-se à verificação de suas práticas de segurança e capacidade de resposta a violações. A arquitetura de sistemas deve prever segregação de dados sensíveis e controles de acesso granulares, mesmo em plataformas externas.

Este incidente ressalta a vulnerabilidade da infraestrutura digital quando serviços terceirizados não são tão robustos quanto os sistemas internos. Para qualquer organização que lida com dados sensíveis de clientes, e especialmente para consultorias de grande porte como a EY, a gestão de risco de terceiros se torna um pilar da estratégia de TI. É preciso estabelecer SLAs claros de segurança, auditorias periódicas e planos de contingência bem definidos para cada parceiro tecnológico.

O episódio também reforça a importância da observabilidade e da capacidade de resposta rápida. Um intervalo de detecção de quase um mês, como o observado, permite que invasores explorem dados por um tempo prolongado, aumentando o potencial de dano. Investir em ferramentas avançadas de detecção de ameaças e em equipes de segurança capazes de atuar proativamente é fundamental para mitigar o impacto de incidentes e manter a conformidade regulatória.