EY(アーンスト・アンド・ヤング)、委託先への不正アクセスで社会保障番号などの情報流出の恐れ|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月21日更新日時: 2026年07月21日

EY(アーンスト・アンド・ヤング)、税委託先への不正アクセスで社会保障番号などの情報流出の恐れ

米大手会計事務所であるEY(アーンスト・アンド・ヤング、Ernst & Young LLP)は、税務関連業務を支援するために利用している委託先のITサービス管理プラットフォームで第三者による不正アクセスが発生し、複数の税務顧客に関わる文書が外部に持ち出された可能性があると公表しました。対象となった文書には、氏名などの個人情報に加え、税務申告に使用される財務情報が含まれていたとされ、バーモント州司法長官への届出では社会保障番号や金融機関の口座番号、クレジットカード・デビットカード情報も対象に含まれ得るとされています。EYは本稿執筆時点で情報の悪用や特定個人を狙った形跡は確認されていないとしていますが、念のため対象者への通知を進めています。

サマリー

EYは、税務関連業務のITサポートを行う委託先のサービス管理プラットフォームで異常な挙動を検知したと公表しました
第三者による不正アクセスと文書のダウンロードが行われたのは2026年3月28日から4月12日までの期間で、EYが異常を検知したのは4月23日でした
対象となる文書には、税務申告に用いる財務情報のほか、社会保障番号や金融機関口座番号、クレジットカード・デビットカード情報が含まれる可能性があるとバーモント州司法長官への届出で明らかにされています
EYは2026年7月13日付で対象者への通知を開始し、カリフォルニア州司法長官事務所には7月15日、バーモント州司法長官事務所には7月16日にそれぞれ届出を行っています
本稿執筆時点で、情報の悪用や特定個人を標的とした形跡は確認されていないとしています
対象者にはExperian IdentityWorksによる24か月間の無償クレジットモニタリングおよびID復旧サービスが提供され、登録期限は2026年10月31日です

1 整理表
2 何が起きたか-税務業務を支える委託先プラットフォームへの侵入
3 検知までに1か月、遮断までの経緯
4 流出した可能性のある情報の範囲
5 EYの対応と提供される保護サービス
6 サードパーティプラットフォームへの依存という共通課題
7 出典

整理表

項目	内容
公表企業	EY(アーンスト・アンド・ヤング、Ernst & Young LLP)
侵害を受けた対象	税務業務のITサポートに用いる委託先のサービス管理プラットフォーム
不正アクセス・ダウンロードが行われた期間	2026年3月28日から4月12日
異常検知日	2026年4月23日
対象者への通知開始日	2026年7月13日
規制当局への届出	カリフォルニア州司法長官事務所(7月15日)、バーモント州司法長官事務所(7月16日)
流出の可能性がある情報	氏名等の個人情報、税務申告に用いる財務情報、社会保障番号、金融機関口座番号、クレジット・デビットカード情報
悪用の確認有無	本稿執筆時点で確認されず
提供される保護サービス	Experian IdentityWorksによる24か月間の無償クレジットモニタリング(登録期限2026年10月31日)
委託先事業者名・攻撃者	本稿執筆時点で非公表

何が起きたか-税務業務を支える委託先プラットフォームへの侵入

EYは、監査、税務、コンサルティング、戦略、トランザクションアドバイザリーなど幅広いサービスを世界中の企業に提供する、いわゆるビッグフォーと呼ばれる大手会計事務所の一つです。同社の税務部門は、個人・法人を問わず機密性の高い財務・個人情報を日常的に取り扱っています。

今回問題となったのは、EYのIT担当者が税務関連の顧客業務を支援する際に利用している、委託先が提供するITサービス管理プラットフォームです。

このプラットフォームを通じて起票されるサポートチケットには、顧客の税務情報を含む文書が添付されることがあり、結果として機密性の高いデータが蓄積される場所になっていました。EYの調査によると、2026年3月28日から4月12日までの間に、権限を持たない第三者がこのプラットフォームにアクセスし、複数の顧客に関連する文書をダウンロードしていたことが判明しています。

検知までに1か月、遮断までの経緯

EYがこの異常な挙動を検知したのは2026年4月23日で、実際の不正アクセス期間の終了からおよそ11日、最初のアクセスからはおよそ1か月が経過していたことになります。検知後、EYの情報セキュリティチームは直ちにインシデント対応の手続きを開始し、外部の独立したセキュリティ専門機関と連携して被害範囲の特定と封じ込めを進めました。あわせて米連邦法執行機関にも通報しています。

EYは、不正アクセスはすでに停止しており、対象システムのセキュリティは確保されたと説明しています。

暗号化を伴うランサムウェア攻撃とは異なり、今回のようにクラウド上のサポートプラットフォームに静かにアクセスし文書を持ち出す手口は、システムの挙動に目立った変化が出にくく、発覚までに時間を要しやすい傾向があります。

今回のケースも、最初のアクセスから検知まで1か月近くを要しており、この種の侵害の発見しにくさを改めて示す事例といえます。

流出した可能性のある情報の範囲

EYが対象者に送付した通知書では、実際に流出した情報の項目は個々の通知書ごとに異なるとされており、対象者本人が保有する情報に応じて個別に明記される形が取られています。全体としては、氏名などの個人情報と、税務申告書の作成に使用された、あるいはそこに含まれる財務情報が対象になるとされています。

一方、規制当局への届出内容からは、より具体的な情報項目も明らかになっています。バーモント州司法長官事務所への届出によると、対象となり得る情報には社会保障番号、金融機関の口座番号、クレジットカードおよびデビットカードの情報が含まれるとされています。また、一部の報道では、EYの機関投資家向け顧客と関連する個人の投資保有情報も対象に含まれていたとも伝えられています。なお、本稿執筆時点で、被害を受けた具体的な対象者数や、侵害を受けた委託先プラットフォームの事業者名、攻撃を実行した主体については公表されていません。

EYの対応と提供される保護サービス

EYは対応として、システムのセキュリティ確保、社内調査の実施、外部セキュリティ専門機関の起用、そして継続的なモニタリングを挙げています。あわせて、対象者に対してExperian IdentityWorksによる24か月間の無償クレジットモニタリングおよびID復旧サービスを提供するとしており、対象者は通知書に記載されたアクティベーションコードを用いて、2026年10月31日までに登録手続きを行う必要があります。

通知書では、対象者に対して、金融機関口座の取引状況を定期的に確認すること、不正利用の疑いがある場合はパスワードやセキュリティ質問の変更を行うこと、主要な信用情報機関に対する不正利用アラートやセキュリティフリーズの設定を検討することも呼びかけています。

サードパーティプラットフォームへの依存という共通課題

今回の事案が示しているのは、社内のセキュリティ体制がどれだけ堅牢であっても、業務上利用する委託先のプラットフォームが機密情報の集積地点になってしまえば、そこが新たな攻撃対象になり得るという、極めて一般的でありながら見落とされがちなリスクです。ITサポートチケットという、一見すると機密性が低そうに思える業務プロセスの中に、税務申告に関わる財務情報や個人情報が日常的に添付されていたという構図は、サポート業務のために気軽に添付ファイルをやり取りする運用が、結果として大規模な情報漏えいの温床になり得ることを物語っています。

当サイトで既報のIIJ・KDDI・TOKAIコミュニケーションズ・WebARENAにまたがるメール基盤への一連のサイバー攻撃でも触れたとおり、基盤となるプラットフォームや委託先が侵害されると、その上に乗っている複数の事業者や顧客に一斉に被害が及ぶという構造は、業種を問わず共通する課題です。

情報システム部門としては、自社が利用している委託先のITサポートプラットフォームやチケット管理システムに、意図せず機密情報が蓄積されていないかを点検することをお勧めします。サポートチケットに添付するファイルの取り扱いルールを明確化し、可能であれば機密情報を含む文書は別の安全な経路でやり取りする運用に切り替えることも検討に値します。また、委託先プラットフォームにおける異常検知の仕組みや、侵害が発生した際の通知義務について、契約段階であらかじめ確認しておくことも、今回のような事案の早期発見につながる備えになります。