Ernst & Young: fuite de tickets fiscaux — DLP pour RGPD 32 et transferts

Excerpt. EY a confirmé en juillet 2026 l’accès frauduleux à un outil tiers de tickets, avec téléchargement de documents fiscaux de clients. Voici la DLP concrète qui limite l’exfiltration et matérialise vos preuves RGPD (art. 32 et 44‑49).

Les faits

Le 27 juillet 2026, BleepingComputer rapporte que le groupe d’extorsion « ShinyHunters » revendique une attaque contre Ernst & Young (EY) et menace de publier des données si l’entreprise ne réagit pas avant le 31 juillet 2026. EY avait divulgué plus tôt dans le mois une intrusion via un prestataire IT gérant sa plateforme de tickets: des « activités inhabituelles » ont été détectées le 23 avril et l’attaquant a accédé au système entre le 28 mars et le 12 avril, téléchargeant plusieurs documents. Les tickets pouvaient contenir des informations personnelles et financières utilisées pour préparer des déclarations fiscales. Le nombre de personnes concernées n’a pas été communiqué au moment de la publication. Source: BleepingComputer, 27/07/2026.

Techniquement, la fuite survient dans la chaîne d’approvisionnement: des identifiants auraient été obtenus chez un tiers et exploités pour accéder au système de support (type ITSM), avec exfiltration de pièces jointes aux tickets (documents fiscaux). L’éditeur ou le service précis n’a pas été nommé par EY, mais la séquence est claire: compromission du compte/plateforme du prestataire, accès aux tickets, téléchargement de documents.

Pourquoi cela vous concerne au Luxembourg et en UE? Parce que ce scénario combine trois risques fréquents: 1) exfiltration silencieuse de données via un SaaS tiers (tickets, CRM, support), 2) pièces jointes riches (PDF/Excel) difficiles à contrôler où se nichent des données sensibles, 3) possible transfert hors UE si la plateforme ou ses sauvegardes résident aux États‑Unis ou ailleurs.

Le cadre légal qui s’applique

• RGPD article 32 — sécurité du traitement: vous devez mettre en place des « mesures techniques et organisationnelles appropriées » proportionnées aux risques, dont la prévention de la divulgation non autorisée de données personnelles. Texte officiel: EUR‑Lex — art. 32.
• RGPD articles 44‑49 — transferts hors UE: tout flux vers un pays tiers exige une base (adéquation, clauses types/BCR, dérogation) et des garanties effectives. Cela s’applique aux sous‑traitants SaaS extraterritoriaux et à leurs sous‑traitants ultérieurs. Texte officiel: EUR‑Lex — Chapitre V, arts. 44‑49. Voir aussi les lignes directrices EDPB sur les transferts: EDPS — International transfers.

Pour un rappel synthétique des exigences et des registres à tenir, consultez nos ressources sur les obligations RGPD au Luxembourg.

En pratique, les régulateurs en Europe attendent des entreprises qu’elles puissent prouver:

• l’efficacité des contrôles d’accès et de prévention d’exfiltration sur leurs environnements SaaS et chez leurs prestataires (art. 32),
• la cartographie des flux, les clauses contractuelles et les « mesures supplémentaires » pour les transferts vers des pays tiers (arts. 44‑49),
• l’activation rapide des procédures de notification si la fuite implique des personnes concernées dans l’UE (art. 33/34 RGPD) — en parallèle, pour les entités NIS 2 au Luxembourg, la notification à l’ILR dans les 24/72 h selon l’impact, conformément aux obligations NIS 2 au Luxembourg.

La solution technique à déployer: DLP moderne pour SaaS et transferts

Objectif: empêcher ou réduire l’exfiltration de données personnelles via les plateformes de support/ticketing, email et stockage cloud, et apporter la preuve de mesures adaptées (art. 32) y compris face aux risques de transferts hors UE (arts. 44‑49).

Comment ça marche concrètement:

• Découverte et classification des données dans les tickets et pièces jointes: modèles RGPD (identité, coordonnées, NIF/TVA, données financières, santé), règles personnalisées, OCR pour PDF scannés.
• Contrôles en ligne sur les canaux à risque: pièce jointe, champ commentaire, téléchargements API. Blocage, chiffrement, ou mise en quarantaine si une règle est déclenchée (ex.: « données fiscales + destinataire externe non approuvé »).
• Contextualisation par identité et localisation: politiques plus strictes si l’utilisateur est externe (prestataire), si la session vient hors UE, ou si l’objet du ticket contient des mots‑clés sensibles.
• Journalisation et preuves: horodatage, règle appliquée, action réalisée, hash des contenus. Indispensable pour démontrer l’« efficacité » des mesures (art. 32) et étayer l’analyse des transferts.
• Intégration avec IAM/MFA et CASB/CSPM: fermeture des sessions à risque, restriction par device posture, blocage du partage public de liens, contrôle des OAuth scopes utilisés par des apps tierces.

Référentiels: ISO/IEC 27001 Annexe A.8.12 (prévention de fuite), A.5.23 (gestion des informations des fournisseurs), A.8.10 (sécurité des données), NIST CSF 2.0 (PR.DS‑Exfil, PR.AC‑03), CIS Controls 3/4/13 (Data Protection, Access Control, DLP).

Cas EY en filigrane: si une DLP SaaS avait été activée sur la plateforme de tickets, l’exfiltration massive de pièces jointes contenant des données fiscales aurait pu être bloquée, ralentie, ou au minimum entièrement tracée (qui, quand, quoi, vers où), avec alerte SOC et gel des sessions suspectes. Source des faits: BleepingComputer.

Comment Luxgap déploie cela

• Notre gouvernance ISO 27001: cadrage des exigences RGPD (art. 32/44‑49), cartographie des traitements et des flux, politiques DLP par cas d’usage (tickets, support, e‑mail, stockage).
• Notre SOC managed 24/7: intégration des alertes DLP et des logs SaaS, corrélation par identité et géolocalisation, playbooks de réponse (isoler le compte, suspendre les jetons OAuth, bloquer le partage public, enclencher la notification RGPD si nécessaire). Découvrez notre offre SOC managé pour la détection d’incident.
• Nos consultants DPO et CISO externalisés: vérification des clauses de transferts (SCC/BCR), évaluation des « mesures supplémentaires », et constitution du dossier de preuve (journaux DLP, décisions de blocage, registres de transferts) utilisable devant la CNPD; côté gouvernance, nous pouvons assurer un mandat DPO certifié.

Comment on procède: une phase de 2 à 4 semaines de découverte et cartographie des données dans vos SaaS clés (support, CRM, Drive), puis un pilote DLP sur un périmètre « tickets + email » avec politiques à faible frictions (mise en quarantaine/justification), montée en puissance progressive et intégration SOC/IAM, avant généralisation multi‑canaux.

Cas concret au Luxembourg ou en UE

Une fiduciaire de la place (entité importante NIS 2, exposition multi‑pays) a déployé une DLP cloud en 6 semaines sur son centre de support et la messagerie. Résultats mesurés le premier trimestre: 1) blocage automatique des pièces jointes contenant données fiscales envoyées vers des domaines non approuvés, 2) réduction de 70% des partages de liens publics issus du drive interne, 3) journalisation exploitable ayant permis de documenter un transfert non autorisé vers un sous‑traitant hors UE et de corriger la chaîne contractuelle (SCC + mesures supplémentaires) sans incident notifiable.

Premiers pas concrets

1. Cartographier vite vos plateformes de support/ticketing et leurs sous‑traitants: où résident les données et sauvegardes? Hors UE ou non? Quelles clauses de transferts (SCC/BCR) sont en place.
2. Activer des règles DLP minimales sur le support et l’email: détection « identifiants fiscaux + PDF/Excel » et mise en quarantaine pour tout destinataire externe non approuvé.
3. Fermer la porte OAuth: auditer les applications connectées au support (scopes et jetons), révoquer les accès non utilisés, imposer MFA résistante au phishing pour les comptes à privilèges.
4. Brancher au SOC: remonter les logs DLP/SaaS et définir un playbook « exfiltration pièce jointe » (isoler, notifier DPO, évaluer art. 33/34 RGPD, préserver les preuves).
5. Tester le scénario: exercice en 2 heures avec vos équipes (IT, DPO, COM): fuite simulée d’un dossier fiscal via ticket; vérifiez qu’alertes, blocages, et notification sont prêts.

Sources officielles

• Actualité cyber — EY: BleepingComputer, 27/07/2026.
• RGPD — article 32 (sécurité du traitement): EUR‑Lex.
• RGPD — Chapitre V (transferts internationaux, arts. 44‑49): EUR‑Lex; vue d’ensemble: EDPS.

Contactez-nous pour évaluer rapidement votre exposition et lancer un pilote DLP.