安永（EY）遭ShinyHunters供应链攻击：第三方工单系统致客户税务文件泄露，四大所再曝安全短板

黑客组织ShinyHunters于7月27日将EY列入其泄露网站，宣称通过供应链攻击窃取了内部系统凭证，可访问Jira、GitHub与Azure等环境，并威胁在未获回应的情况下公开数据，赎金截止日期为7月31日。EY已向加州、得克萨斯等州监管机构提交泄露通知，确认至少1366名美国居民受影响，鉴于其客户覆盖大量世界500强企业与高净值人群，实际规模可能远超此数。

安全专家指出，本次事件暴露了大型专业服务机构的共性风险：员工为图方便将客户敏感数据作为工单附件上传至第三方平台，而该平台既缺乏精细化权限分级与数据最小化控制，也缺少实时入侵监测，成为黑客眼中的低成本高回报攻击入口。这已是安永4年内的第3起全球数据安全事故。

EY表示已联合外部网络安全公司确认入侵得到控制，未发现数据被滥用的证据，并为受影响客户提供24个月Experian身份监控与恢复服务。税务身份盗窃的风险评估显示，被盗社保号与收入数据最快可在48小时内被用于冒名报税或申请贷款。该事件为税务、法律、金融等处理高敏感数据的专业服务业敲响了安全警钟，也再次凸显第三方供应链风险管理的紧迫性。