Il gruppo di estorsione ShinyHunters ha rivendicato la violazione di Ernst & Young annunciata dalla società di consulenza a metà luglio, sostenendo di aver ottenuto le credenziali di alcuni sistemi EY attraverso un attacco alla catena di fornitura. Il nome della "big four" è comparso sul sito di leak del gruppo il 27 luglio, con un ultimatum: se l'azienda non contatterà i criminali entro il 31 luglio 2026, i dati verranno pubblicati.

I fatti accertati e quelli soltanto rivendicati

Conviene tenere separati i due piani, perché la differenza conta.

Ciò che EY ha dichiarato ufficialmente, nella lettera di notifica depositata presso l'ufficio del procuratore generale della California, è che a essere compromessa è stata una piattaforma di terze parti per la gestione dei servizi IT usata dal personale interno per supportare i team che svolgono attività fiscali per conto dei clienti. I ticket di supporto aperti su quella piattaforma potevano contenere documenti con informazioni fiscali dei clienti. L'attività anomala è stata rilevata il 23 aprile, ma l'accesso non autorizzato risale al periodo compreso fra il 28 marzo e il 12 aprile: quasi un mese di permanenza indisturbata, e altre due settimane prima che qualcuno se ne accorgesse.

Sui dati sottratti, EY ha indicato all'autorità del Texas nomi, indirizzi, codici di previdenza sociale, numeri di conto, numeri di carta di credito e debito e altre informazioni usate per predisporre le dichiarazioni fiscali. La società non ha reso noto il nome della piattaforma compromessa né il numero di persone coinvolte, dichiara di non essere a conoscenza di usi impropri dei dati e offre agli interessati ventiquattro mesi di monitoraggio dell'identità.

Ciò che invece è soltanto rivendicato, e che né EY né fonti indipendenti hanno confermato, è la ricostruzione di ShinyHunters: credenziali ottenute tramite un attacco a un fornitore, e da lì accesso agli ambienti Jira, GitHub e Azure di EY. Il gruppo non ha voluto identificare il terzo compromesso né specificare cosa sia stato esfiltrato, limitandosi a sostenere che i dati riconosciuti da EY sono solo una parte del bottino. È una rivendicazione plausibile — il modus operandi coincide con la lunga serie di intrusioni attribuite al gruppo negli ultimi mesi — ma resta una rivendicazione, e va trattata come tale.

Cosa significa per le aziende italiane

Il punto interessante non è che una big four sia stata violata. È dove è stata violata: non nei sistemi core, ma nella piattaforma di ticketing usata dall'IT interno. Un sistema di servizio, di quelli che nessun risk assessment classifica come critico, e che in realtà raccoglie per sua natura ciò che gli utenti gli allegano — e gli utenti allegano tutto.

Questo è lo schema che vediamo ripetersi, e in Italia riguarda direttamente qualunque studio professionale, società di consulenza, commercialista o azienda che tratti pratiche fiscali e amministrative per conto terzi. Il ticket di supporto è il punto in cui la classificazione dei dati fallisce sistematicamente: la policy dice che le dichiarazioni dei redditi stanno nel gestionale documentale cifrato, e intanto qualcuno ha allegato il PDF al ticket "non riesco ad aprire questo file" e ce l'ha lasciato per tre anni. Nessuna misura tecnica sofisticata protegge da questo; serve retention sugli allegati, controlli in fase di apertura del ticket e verifiche periodiche su cosa contenga davvero il repository.

Il secondo insegnamento riguarda il ruolo giuridico. Se una piattaforma di terze parti tratta dati personali per conto dell'azienda, quel fornitore è responsabile del trattamento ai sensi dell'articolo 28 del GDPR, e la titolarità — con i relativi obblighi verso gli interessati — resta all'azienda che l'ha scelto. Nel caso italiano, una violazione di questo genere fa scattare la notifica al Garante entro 72 ore dalla conoscenza del fatto, ai sensi dell'articolo 33, e la comunicazione agli interessati quando il rischio per i diritti e le libertà è elevato: con codici fiscali, dati bancari e documenti reddituali in gioco, quella soglia è difficile da non superare. Va aggiunto che il contratto ex articolo 28 deve prevedere che il responsabile assista il titolare e lo informi senza ingiustificato ritardo: se scoprite una violazione del vostro fornitore leggendo BleepingComputer, il problema contrattuale esiste a prescindere dall'incidente.

C'è infine la dimensione della catena di fornitura, che per i soggetti nel perimetro NIS2 è una misura di sicurezza esplicita e non una buona pratica facoltativa. La cronologia di questo caso — quasi trenta giorni di accesso, rilevamento a posteriori, rivendicazione a tre mesi di distanza — mostra quanto sia irrealistico pensare di reagire in tempo senza visibilità contrattuale e tecnica su ciò che accade dal fornitore. E la finestra fra la notifica di EY e la comparsa sul sito di leak ricorda un fatto sgradevole: la pubblicazione dei dati può arrivare mesi dopo, quando l'incidente è già stato archiviato internamente come chiuso.

Cosa fare subito

  • Mappare le piattaforme SaaS di supporto (ticketing, ITSM, help desk, condivisione file annessa) e verificare quali categorie di dati vi transitino realmente, non quali dovrebbero transitarvi.
  • Applicare retention e blocco allegati: cancellazione automatica dei ticket chiusi oltre una certa età, divieto di allegare documenti con dati particolari, canale alternativo cifrato per lo scambio di documentazione fiscale e sanitaria.
  • Verificare i contratti ex art. 28 GDPR con i fornitori: obbligo di notifica senza ingiustificato ritardo, tempistiche precise, diritto di audit, elenco aggiornato dei sub-responsabili.
  • Attivare MFA e accesso condizionale su tutte le piattaforme di terze parti usate dall'IT interno, e privilegiare il single sign-on aziendale rispetto alle credenziali locali del fornitore.
  • Rivedere i log di accesso alle piattaforme di supporto per il periodo marzo-aprile 2026 se si utilizzano servizi condivisi con il perimetro EY o fornitori comuni.
  • Preparare la procedura di notifica al Garante e agli interessati prima di averne bisogno: la finestra di 72 ore si consuma quasi interamente nell'accertamento dei fatti, non nella compilazione del modulo.