EYの税務データが第三者のヘルプデスク経由で流出、米4州に通知　ITサポート基盤が盲点に

大手会計事務所アーンスト・アンド・ヤング（EY）の第三者製ITサポートシステムから、顧客の社会保障番号や税務申告書などの機密データが流出した。影響はEYと直接取引のない金融機関の顧客にも及ぶ可能性があり、米国4州への届け出から、影響を受けた住民は少なくとも1,366人に上ることが確認できる。実際の規模はさらに大きい可能性が高い。通知書を受け取った人は、2026年10月31日までに提供される監視サービスへ登録するほか、クレジット凍結などの自衛策を検討する必要がある。

■ヘルプデスクが「無防備な入り口」に：15日間の不正アクセス

アーンスト・アンド・ヤング（EY）が使用していたサポートチケット管理ソフトウェアは、何百万もの組織が日常的なITトラブルの解決に使用しているものと同種のヘルプデスクプラットフォームだが、結果として無防備な入り口になっていた。カリフォルニア州司法長官への提出書類によると、攻撃者は2026年春の15日間にわたりこのシステムへ侵入し、従業員がサポートチケットに添付していた顧客の税務ファイルを、気づかれることなくダウンロードしていた。EYのセキュリティチームが侵入を検知した2026年4月23日には、不正アクセスの期間はすでに終了していた。

盗まれたデータには、社会保障番号（SSN）、金融口座コード、クレジット口座およびデビット口座のデータ、投資保有情報、顧客の税務申告書の内容が含まれている。これを受け、3日間のうちに米国の4州で規制当局への届け出が行われ、テキサス州司法長官への提出書類によると、2026年7月17日には同州が新たに加わった。

この複数州にわたる一連の通知は、単なる日常的な行政手続きではない。影響を受けた全体の人数を明らかにしていないEYについて、被害規模を公に検証できる初めての指標となる。テキサス、マサチューセッツ、カリフォルニア、バーモントの4州で確認できる人数は、合計で少なくとも1,366人に上る。しかし、EYの顧客基盤には、世界150カ国のFortune 500企業、プライベートエクイティ企業、金融機関、富裕層などが含まれており、実際にリスクにさらされている人数は、これを数桁上回る可能性が極めて高い。

■従業員が添付したファイルが「シャドーアーカイブ」化

EYのIT担当者は、従業員が税務ソフトウェアや顧客データの処理手順に関する問題を解決できるよう支援する際、第三者製のITサービスマネジメント（ITSM）プラットフォームを使用していた。ITSMは、ヘルプデスクやサポートチケット管理ソフトウェアを指す業界用語である。従業員はサポートを依頼する際、問題の内容を記載し、ITチームが確認する必要のあるファイルを添付していた。税務部門では、それらの添付ファイルが顧客の税務申告書、社会保障番号の記録、金融口座の概要など、実際の税務書類であることも多かった。

時間の経過とともに、こうした日常的なデータの蓄積が構造的な問題を引き起こした。チケット管理プラットフォームが、EYの保有する最も機密性の高い財務記録の一部を保存する「シャドーアーカイブ（影の保管庫）」と化した一方で、同社の主要なデータ保管システムに適用されるものと同等のアクセス制御、データ最小化要件、監視基準は適用されていなかった。このプラットフォームは、当初から税務記録の保管を目的としていたわけではない。誰かが税務記録をヘルプデスクシステムへ保存すると決めたのでもない。従業員がITサポートの依頼に顧客書類を添付し、それを防ぐためのデータ分類ルールが構築されていなかったため、結果として蓄積されたのである。

EYは、このプラットフォームを提供していたベンダーや、攻撃者が最初にアクセスした方法を明らかにしていない。カリフォルニア州司法長官への提出書類によると、調査の結果、不正アクセスは2026年3月28日から4月12日まで続いていたことが判明した。マルウェアやランサムウェアは使用されておらず、2026年7月17日時点で犯行声明を出した攻撃者もいなかった。侵入が検知されたのは不正アクセス期間の終了から11日後、開始から26日後であり、この時間差は、ヘルプデスクプラットフォームが中核的な業務システムほどリアルタイムで監視されない傾向を示している。

■直接の顧客以外にも及ぶ影響

規制当局への提出書類には、見落とされやすいものの、潜在的な被害者の範囲を大幅に広げる重要な点がある。影響を受けた個人の多くが、EYと直接の取引関係を持っていなかったことだ。これらの人々のデータは、投資関連の税務業務にEYを利用している金融機関が保有しており、通常の専門サービス契約の一環としてEYへ提供されていた。

バーモント州司法長官への提出書類によると、侵害された情報には、社会保障番号、金融口座コード、クレジット口座およびデビット口座のデータが含まれている可能性がある。カリフォルニア州への提出書類では、EYの機関顧客に関連する投資保有情報など、税務申告に関係する追加のデータも挙げられている。

漏洩したデータの種類の広さが重要なのは、被害が短時間で発生し得るためだ。米内国歳入庁（IRS）のセキュリティサミットが引用したサイバーセキュリティ研究によると、盗まれた社会保障番号や所得データを使って不正な申告を行う「税務上の個人情報窃取」は、データが盗まれてから48時間以内に実行される可能性がある。解決には数カ月、場合によっては数年かかることもある。正当な納税者本人であることを証明する負担が、申告書の作成者ではなく納税者に課されるという構造的な不均衡があるためで、IRSの納税者擁護サービスも、これを継続的な問題として指摘している。

■被害者への救済措置と推奨される自衛策

EYは通知書を受け取った個人に対し、Experian IdentityWorksを通じた24カ月間のクレジットおよび個人情報監視サービスと、本人確認情報の回復支援サービスを提供している。対象者は通知書に記載されたアクティベーションコードを使い、2026年10月31日までに登録する必要がある。

クレジット監視は妥当な初期対応だが、セキュリティ専門家は、社会保障番号や完全な税務記録が含まれる情報漏洩については、追加の対策も一貫して推奨している。米国の3大信用情報機関であるEquifax、Experian、TransUnionのすべてで「クレジット凍結（Credit Freeze）」を行えば、被害者の名義で新たな与信口座が開設されるのを防げる。凍結と解除は無料で行える。不審な動きが発生した後に通知するクレジット監視とは異なり、クレジット凍結は新規口座の開設そのものを防ぐ。

IRSの「個人情報保護PIN（IP PIN）」プログラムは、こうした状況に特化した第2の防御策となる。登録すると、特定の社会保障番号で提出するすべての税務申告書に、固有の6桁のPINを記載する必要がある。PINがなければ、IRSは申告書を受理しない。このプログラムは現在、過去に個人情報窃取の被害を受けた人だけでなく、すべての納税者が利用できる。EYのサポートチケットに自身の社会保障番号が含まれていた可能性のある人は、2027年の申告シーズン前に登録することが望ましい。

影響を受けた個人は、標的型フィッシングにも注意する必要がある。氏名、住所、勤務先、金融機関などを含む一式の税務申告書類を持つ攻撃者は、IRS、EY、金融機関などを装った、個人に合わせた説得力の高いメールを作成できる。利用可能なデータが具体的であるため、この場合は一般的なフィッシングフィルターの信頼性が低下する。

■3年未満で3回目のベンダー側のセキュリティ事案

2026年7月の今回の流出は、EYにとって3年未満の間に発生した3件目の重大なデータセキュリティ事案となる。3件はいずれも、機密データを蓄積した第三者のベンダーまたはプラットフォームが、それを適切に保護できなかったという同じ構造的な弱点につながっている。

2023年5月には、ランサムウェア集団「Cl0p」が、Progress Softwareのファイル転送ツール「MOVEit Transfer」のゼロデイ脆弱性を悪用した。EYはこのツールをバンク・オブ・アメリカとのデータファイル転送に使用していた。この流出により、同行の顧客3万210人の金融口座番号、社会保障番号、クレジットカード情報が漏洩した。約20万人を対象とした集団訴訟は、2026年に250万ドル（約4億500万円、1ドル＝162円換算）で和解した。

2025年10月には、サイバーセキュリティ企業Neo Securityが、EYの買収先企業に属する4テラバイトのSQL Serverバックアップファイルが、Microsoft Azure上で一般にアクセス可能な状態になっているのを発見した。意図的な攻撃ではなく、クラウド移行時の設定ミスによるものだった。EYはこの事案について、影響は限定的であり、グローバルな顧客システムには影響していないと説明した。

2026年7月の今回のITSM侵害は、過去2件とは性質が異なる。ファイル転送ツールや設定を誤ったクラウドストレージではなく、EYの米国における中核的な税務業務を標的として、意図的な不正アクセスと文書の持ち出しが行われたことが確認されているためだ。

■ITSMプラットフォームに潜むセキュリティの盲点

EYの事案で見られた、主要なデータ保管システムではなくヘルプデスクのチケット管理システムを狙う攻撃パターンは、認識された攻撃経路となっている。ITSMプラットフォームは、内部システムへの管理用アクセスを持つ一方、データを大量に扱うアプリケーションのトラブル対応を通じて、機密性の高い添付書類が時間とともに蓄積されるという、攻撃者にとって魅力的な2つの性質を併せ持つためだ。セキュリティチームは従来、データベースやファイルサーバーには厳格な制御を適用してきたが、それらのシステムを扱う従業員を支援するITSMプラットフォームの監査には対応が遅れていた。

このリスクはプロフェッショナルサービス業界に限られない。医療記録、法的文書、財務データ、政府情報を扱う従業員をIT部門が支援する組織では、サポートチケットの添付ファイルに、主要システムと同じデータ最小化基準やアクセス制御を適用していなければ、構造的に同等のリスクが生じる。セキュリティ研究者は2026年、既知のITSM関連の脆弱性として、HaloITSMのSQLインジェクションの欠陥や、Ivanti Neurons for ITSMのセッション持続性およびクロスサイトスクリプティングの脆弱性を指摘している。いずれも過去1年以内に修正された。組織全体のサポート依頼を収集し、索引化する集中型プラットフォームの構造そのものが、標準的なデータフロー監査では見えにくい集約リスクを生み出す。

直接の標的の防御が強化されるにつれ、サプライチェーン攻撃が信頼された仲介者へ向かう傾向は、セキュリティ分野で長年知られてきた。今回のEYの事案は、その仲介者がソフトウェア開発ツールやファイル転送ユーティリティではなく、従業員のコンピューターに関する日常的な問題を解決するため、あらゆる業界で導入されているIT管理プラットフォームだったという具体的な事例を加えた。顧客文書をサポートチケットに添付したことのある組織は、その添付ファイルが今も残っていないか、また、それを保有するプラットフォームが、添付元のシステムと同等のセキュリティ監視を受けているかを確認すべきだ。

影響を受けた個人向けのEYの連絡先は、電話833-931-7884またはメールPrivacy.Notification@ey.comである。複数州の司法長官への提出書類は、カリフォルニア、バーモント、テキサス、マサチューセッツ各州の司法長官事務所を通じて引き続き閲覧できる。

■注目ポイントQ&A

●EYと直接取引がない場合でも、今回のデータ流出の影響を受ける可能性はありますか？

可能性はあります。州当局への提出書類によると、影響を受けた一部の個人はEYと直接の取引関係がありませんでした。EYへ投資関連の税務業務を委託している金融機関が、通常の専門サービス契約の一環として顧客データをEYに提供していたためです。大手銀行や金融機関の顧客は、以前はEYとの関係を認識していなかった場合でも、EYのシステムにデータがあり、通知書を受け取る可能性があります。

●税務データの流出は、通常の認証情報の漏洩と比べてなぜ危険なのですか？

税務申告書類には、雇用主の名称と住所、所得額、社会保障番号、銀行口座情報、控除対象となる支出、扶養家族の情報など、個人が毎年作成する情報の中でも特に包括的な財務情報が含まれます。これらを組み合わせれば、正当な納税者が申告する前に、攻撃者が不正な申告書を提出できる可能性があります。IRSが示した情報によると、データの窃取から不正申告までの期間は48時間ほどしかない場合があります。正当な申告者であることを証明する負担が納税者にあるため、解決には数カ月から数年かかることもあります。

●第三者製のヘルプデスクソフトを使用している組織は、同様のリスクを抱えているのでしょうか？

はい、構造的には同様のリスクがあります。サポートチケットの処理を通じて、主要なデータ保管システムとして設計・監査されていないプラットフォームに機密性の高い添付書類が徐々に蓄積する「シャドーアーカイブ」の問題は、EYやプロフェッショナルサービス企業に限られません。機密データを扱う従業員をIT部門が支援するあらゆる組織で、同じ状況が生じる可能性があります。

●EYから通知書を受け取った場合、まず何をすべきですか？

緊急度の高い順に4つの対応があります。第1に、Equifax、Experian、TransUnionでクレジットを凍結します。無料で手続きでき、自分の名義による新規の与信口座開設を防げます。第2に、2027年の申告シーズンまでに、irs.govでIRSの個人情報保護PINプログラムへ登録します。第3に、通知書に記載されたコードを使い、2026年10月31日までにEYのExperian IdentityWorksへ登録します。第4に、銀行口座や金融機関に注意情報を設定し、身に覚えのない信用照会や口座情報の変更など、不審な動きがあった場合に通知を受けられるようにします。

元記事: EY Tax Data Stolen Through Third-Party Help-Desk Platform, Four States Notified