EY heeft bevestigd dat klanten zijn getroffen door een datalek na een hack op een extern IT-supportplatform, waarbij tussen 28 maart en 12 april 2026 documenten met belastinggegevens werden gedownload. Minstens 1.366 Amerikaanse klanten zijn volgens meldingen bij vier Amerikaanse staten getroffen, en de hackersgroep ShinyHunters claimt achter de aanval te zitten.
1.366
Amerikaanse klanten, minimaal
28 maart tot 12 april 2026
periode van onbevoegde toegang
23 april 2026
ontdekking door EY
Wat is er gebeurd bij EY?
Accountants- en adviesorganisatie EY heeft bevestigd dat een extern IT-supportplatform is gehackt, waarna documenten met belastinggegevens van klanten zijn gedownload. De onbevoegde toegang liep van 28 maart tot 12 april 2026, en EY ontdekte de inbraak pas op 23 april 2026. Pas in juli begon het kantoor klanten en toezichthouders te informeren.
Eind juli 2026 claimde de cybercriminelengroep ShinyHunters de aanval en dreigde de buitgemaakte data openbaar te maken als EY niet voor 31 juli in gesprek zou gaan. EY heeft niet bevestigd dat ShinyHunters achter de hack zit en laat niet weten of er contact is geweest met de aanvallers.
De gedownloade documenten bevatten namen, adressen, Amerikaanse Social Security-nummers, bankgegevens en betaalkaartgegevens die klanten gebruikten bij hun belastingaangifte. Onder de getroffenen zitten klanten van de vermogensbeheertak van Goldman Sachs, hedgefonds Man Group en vastgoedontwikkelaar Tishman Speyer. Goldman Sachs en Man Group benadrukken dat hun eigen systemen niet zijn geraakt.
Het is onduidelijk of er ook Nederlandse klanten tussen de getroffenen zitten. EY deed meldingen bij toezichthouders in onder meer Californië, Texas, Massachusetts en Vermont, goed voor minstens 1.366 betrokken Amerikanen, terwijl het werkelijke aantal wereldwijd vermoedelijk hoger ligt.
Ben ik getroffen door het datalek bij EY?
Dit lek raakt vooral Amerikaanse klanten van financiële instellingen die EY inschakelden voor belastingadvies, zoals klanten van Goldman Sachs, Man Group en Tishman Speyer. EY heeft zelf geen totaal aantal gepubliceerd, maar meldingen bij Amerikaanse staten tellen op tot minstens 1.366 personen.
Het is niet bekend of ook Nederlandse klanten zijn getroffen. Heb je een brief of e-mail van EY over dit datalek ontvangen, dan ben je geraakt; zonder zo'n melding is er bij EY zelf geen manier om dit na te gaan.
Wat kunnen oplichters met de gegevens van EY-klanten doen?
Met je naam en adres kunnen criminelen een overtuigend bericht sturen dat net echt lijkt, bijvoorbeeld namens de belastingdienst of je bank. Een gestolen Social Security-nummer gebruiken fraudeurs voor identiteitsfraude, zoals het aanvragen van een lening of krediet op jouw naam.
Bankgegevens en betaalkaartgegevens kunnen leiden tot valse incasso's of pogingen om geld over te boeken. Omdat de documenten ook gegevens uit belastingaangiftes bevatten, kunnen oplichters heel gericht te werk gaan: ze weten precies welke belastingzaken je had lopen, wat een nepmail of telefoontje overtuigender maakt.
- Meld je aan voor de gratis identiteitsbewaking die EY aanbiedt via Experian als je een melding hebt ontvangen.
- Let extra op phishingmails of telefoontjes die zich voordoen als EY, je bank of de belastingdienst.
- Controleer je bankafschriften en creditcardoverzicht op onbekende afschrijvingen.
- Overweeg bij twijfel over identiteitsfraude een fraudealert of extra controle bij je bank.
Wat moet je nu doen na het datalek bij EY?
Heb je een melding van EY gehad, meld je dan aan voor de gratis identiteitsbewaking die het kantoor aanbiedt. Blijf daarnaast alert op berichten die misbruik maken van je belastinggegevens of bankzaken.
Wat zegt EY over het datalek?
EY zegt dat het geen bewijs heeft dat de gestolen gegevens zijn misbruikt of dat specifieke klanten doelwit waren. In de melding aan klanten schrijft het kantoor:
Op dit moment hebben we geen aanwijzingen dat uw persoonsgegevens zijn misbruikt of verder zijn blootgesteld als gevolg van dit incident.
EY, verklaring in de melding aan getroffen klanten
EY zegt verder nog niet te weten hoeveel klanten precies zijn getroffen, en biedt getroffenen 24 maanden gratis identiteitsbewaking aan via Experian. Een groep klanten spande in de Verenigde Staten een rechtszaak aan tegen EY wegens onvoldoende beveiliging.
Wie zit achter de aanval op EY?
De cybercriminelengroep ShinyHunters claimt verantwoordelijk te zijn voor de aanval en zette EY op zijn eigen lekwebsite. De groep dreigde de gestolen data openbaar te maken als EY niet voor 31 juli 2026 in gesprek zou gaan.
EY heeft de claim niet bevestigd en laat niet weten of er contact is geweest met de aanvallers. Volgens Nederlandse accountancy-media zou het lek verband houden met een kwetsbaarheid in software van Checkmarx, al is dat niet door EY bevestigd; opvallend genoeg werd kort geleden in Nederland een vermoedelijke leider van ShinyHunters aangehouden.
Eerder op CyberInsider
Wat te doen bij een datalek?
Wat weten we nog niet?
- Het precieze totale aantal getroffen klanten wereldwijd.
- Of er Nederlandse klanten tussen de getroffenen zitten.
- Of ShinyHunters daadwerkelijk achter de aanval zit; EY bevestigt dit niet.
- Of de gestolen data inmiddels ergens is gepubliceerd.
Bronnen: Security Affairs: EY investigates data breach involving third-party support tickets, Security Affairs: ShinyHunters claims Ernst & Young data breach, Tech Times: EY tax data stolen through third-party help-desk platform, CFO Dive: EY hit with proposed class action over data breach, Accountant.nl: Datalek bij EY raakt klanten van Goldman Sachs en Man Group, Dutch IT Channel: Groot datalek bij Ernst & Young na hack op supportsysteem.