安永税务数据泄露风波再次敲响行业安全警钟

（来源：中国税务报）

转自：中国税务报

刘路娴

作为全球四大会计师事务所之一，安永素来以合规严谨的行业形象示人。但安永近期的数据泄露风波，暴露了公司数据安全的漏洞。黑客通过不起眼的第三方IT运维工单系统，悄无声息窃取海量客户敏感税务数据，持续作案半月之久，而安永滞后11天才察觉异常。

目前美国加利福尼亚、得克萨斯等四州已确认用户信息遭泄露，相关集体诉讼已在联邦法院立案。这已是安永4年内在全球第3次出现数据安全事故，给税务专业服务行业敲响了警钟。

“偏门”被撬，近半月无人察觉

本次事故的离谱之处在于，黑客完全避开了安永层层设防的核心数据库，精准拿捏了安全管控力度不足的“偏门漏洞”。

经安永联合第三方网络安全机构调查核实，今年3月28日—4月12日，知名黑客组织ShinyHunters持续入侵安永第三方IT运维工单系统，批量下载了大量客户税务、财务核心数据，全程未触发任何安全机制预警。直到4月23日，安永才发现系统异常，此时黑客已撤离11天之久。

这款运维工单系统是安永员工日常报修电脑故障、提交运维申请的便捷工具。按照规范流程，员工只需上传故障截图、设备日志即可完成报修。但在实际操作过程中，大量员工为省去二次整理的麻烦，习惯将客户真实完整的纳税申报表、银行账号甚至投资持仓明细等敏感数据一股脑儿打包作为工单附件上传。

日积月累，这个本应只处理技术故障的平台，悄然成为囤积海量隐私数据的“仓库”。更致命的是，这个“仓库”既没有落实精细化权限分级管控、数据最小采集原则，也没有部署实时入侵监测、异常行为预警机制，几乎处于“裸奔”运行状态，成了黑客眼中低成本、高回报的绝佳攻击入口。

安全专家表示，这种非核心系统的数据沉淀风险，在大型专业服务机构中并不罕见。企业往往重视核心业务系统安全，忽视辅助平台管控，而员工不规范的操作习惯又在不断破坏数据安全防线。截至目前，已有至少1366名用户在此次数据安全事故中受害，考虑到安永为大量世界500强企业、私募基金和高净值人群提供服务，业内估计本次事故实际受影响规模可达数万乃至数十万人。

三度失守，数据安全频频“栽跟头”

这已不是安永第一次在数据安全上“栽跟头”了。回顾过去4年，安永的数据安全失守记录堪称一部“连续剧”。

2023年5月，克罗普勒索软件团伙利用商用文件传输工具中的系统缺陷，非法窃取安永服务的3万名美国银行客户的财务信息，包括金融账号、社会安全号码和信用卡卡号等核心数据。事发后，受害者集体发起诉讼，安永最终以250万美元赔偿金达成和解。

2025年10月，安永意大利子公司再次发生低级失误。其此前收购的一家第三方企业，将含有大量系统密钥、登录凭证等敏感信息的SQL服务器备份文件上传到微软云存储上时，错误将访问权限设置为公开访问，导致全网均可随意浏览下载。虽然安永方面迅速发声，宣称该企业与安永全球云平台完全隔离，不存在客户隐私泄露风险，但此事再次暴露了其全球数据安全管控的漏洞。

与前两次数据泄露事故不同，此次事故是一次有针对性、有预谋的数据窃取犯罪。更值得警惕的是，黑客组织在作案后公开认领此次攻击，并扬言要曝光更多涉密数据，持续威胁安永。

三次事故、三种攻击入口、三类泄露场景，暴露出的问题惊人一致——安永对非核心平台、第三方系统的数据安全管控存在漏洞。

隐患深远，事故敲响行业警钟

大量敏感数据泄露，给受害者埋下了长期安全隐患。黑客手握完整税务档案、身份信息，可以炮制以假乱真的钓鱼邮件，冒充安永工作人员、税务部门、银行机构，诱导用户提供更多敏感信息。更令人担忧的是，不法分子利用被盗的社会安全号码、收入数据，最快可在48小时内完成税务身份盗窃，冒名进行报税、申请贷款、开立金融账户等违法操作。受害者想要澄清身份、挽回损失，往往需要耗费数月甚至数年时间，维权成本极高。

针对本次事故，安永推出了补偿方案，为所有受影响用户提供2年免费信用监控及身份恢复服务，用户需在2026年10月31日前完成激活绑定。安永还对外回应称，已全面强化数据安全系统、清除非法访问权限，并同步报备美国联邦执法部门。当前，暂无证据显示被盗数据已被非法滥用，也尚未出现针对单个客户的精准攻击。安全专家向用户提出3项防控建议：向美国三大征信机构申请冻结信用报告、向税务局申请身份保护个人识别码、警惕高度定制化的钓鱼邮件，全方位规避身份盗用风险。

安永的数据安全事故，给行业敲响了警钟，任何处理医疗、法律、金融或政府数据的组织都可能面临类似风险。过去一年，全球已披露多起IT服务管理平台高危漏洞被黑客攻击的事件。

安永的“翻车”案例深刻印证了一个道理，数据安全从来不是企业的成本负担，而是必须重视的底线。

本文刊发于《中国税务报》2026年8月11日B3版。

企业财税安全如何更好筑牢防线？

欢迎留言交流~