Vazamento na EY expõe informações de clientes ligados ao Goldman Sachs e ao Man Group
A EY confirmou que documentos pertencentes a clientes foram acessados e baixados por um invasor. A exposição ocorreu em uma plataforma de gestão de serviços de tecnologia usada pela consultoria para dar suporte às operações de sua área tributária. Embora o incidente tenha envolvido informações de clientes, Goldman Sachs e Man Group afirmaram que seus próprios sistemas não foram invadidos.
Entre as pessoas afetadas estão profissionais ligados à área de gestão de patrimônio do Goldman Sachs e indivíduos associados ao Man Group, gestora de investimentos com ações negociadas no Reino Unido. A origem do problema, segundo as informações divulgadas, foi a infraestrutura utilizada pela EY, e não as redes das duas instituições financeiras.
Os arquivos estavam anexados a chamados de suporte técnico, conhecidos como tickets. Esse tipo de registro é usado para documentar falhas, solicitações e procedimentos de atendimento. Apesar de não fazer parte do sistema principal de uma empresa, um ticket pode conter documentos e dados confidenciais enviados para ajudar a resolver um problema – e, por isso, também precisa ser protegido como um repositório sensível.
Entre as informações expostas estão nomes, endereços, números de identificação fiscal, e-mails e detalhes financeiros. A quantidade de pessoas atingidas não foi informada. Reunidos, esses elementos podem permitir a criação de um perfil detalhado de cada indivíduo, além de facilitar tentativas de fraude e golpes personalizados.
A invasão teria sido possível por uma vulnerabilidade no software Checkmarx. De acordo com a EY, o acesso indevido ocorreu entre 28 de março e 12 de abril. A atividade suspeita só foi identificada em 23 de abril, onze dias depois do fim do período de acesso relatado. Assim, o invasor pode ter permanecido no ambiente por cerca de duas semanas antes de deixar de acessá-lo.
Após identificar o incidente, a EY contratou empresas independentes para avaliar a segurança de seus sistemas. A consultoria também comunicou autoridades reguladoras da Califórnia, do Texas, de Massachusetts e de Vermont. A própria empresa ficou responsável por avisar as pessoas cujos dados foram expostos e ofereceu serviços de monitoramento de crédito.
Por que chamados técnicos também exigem proteção
A ocorrência evidencia que informações importantes não ficam apenas em bancos de dados centrais ou sistemas financeiros. Anexos enviados a equipes de suporte, capturas de tela, relatórios de erro e documentos usados durante investigações técnicas podem concentrar dados pessoais e empresariais. Se essas plataformas forem comprometidas, os arquivos de apoio podem se tornar uma porta de acesso a informações que deveriam permanecer restritas.
Por esse motivo, empresas precisam definir regras claras para o conteúdo compartilhado em tickets. Sempre que possível, dados pessoais devem ser removidos ou substituídos antes do envio. Também é recomendável limitar o acesso aos chamados, estabelecer prazos para a exclusão de anexos e manter registros que permitam identificar quem consultou ou baixou cada documento.
O que pessoas afetadas podem fazer
Quem receber uma notificação deve ler atentamente as orientações fornecidas e verificar quais categorias de informação foram envolvidas. Como números fiscais e dados financeiros não podem ser trocados com a mesma facilidade que uma senha, é importante observar movimentações bancárias, notificações de crédito e comunicações inesperadas que mencionem informações pessoais verdadeiras.
Mensagens que aparentam vir de uma consultoria, de um banco ou de uma autoridade podem ser usadas para tentar obter senhas, códigos de autenticação ou pagamentos. Em caso de dúvida, o contato deve ser feito por canais oficiais já conhecidos, e não por telefones ou endereços incluídos em mensagens recebidas após o vazamento.
A troca de senhas continua sendo uma medida relevante quando credenciais podem ter sido expostas, sobretudo se a mesma combinação era utilizada em diferentes serviços. Ativar a autenticação em dois fatores também reduz o risco de invasão de contas. No entanto, essas medidas não eliminam os perigos associados a dados que não podem ser alterados, como nome, endereço e número de identificação fiscal.
Para as organizações, o episódio reforça a necessidade de avaliar não apenas os sistemas próprios, mas também as ferramentas contratadas e os processos de terceiros. A segurança de uma cadeia de serviços depende de controles sobre acessos, atualizações de software, armazenamento de documentos e resposta a incidentes. Plataformas auxiliares, mesmo quando destinadas apenas ao suporte, podem guardar informações suficientes para causar danos relevantes se forem acessadas por pessoas não autorizadas.