Dados de clientes do Goldman Sachs vazaram pela EY — e estavam anexados a chamados de suporte de TI

Quem é cliente da área de gestão de patrimônio do Goldman Sachs descobriu nesta semana que parte dos seus dados foi parar nas mãos de criminosos — sem que o banco tivesse sido invadido. A Bloomberg confirmou em 7 de outubro, com uma fonte ligada ao caso, que informações do Goldman foram expostas no início do ano num ataque à EY, uma das quatro grandes firmas de auditoria e consultoria do mundo. O Financial Times, que deu a notícia primeiro, acrescenta clientes do fundo britânico Man Group à lista.

Um porta-voz do Goldman disse que os sistemas do banco “não foram afetados”, que os ativos dos clientes estão seguros e que o banco mantém “contato regular com a EY” para apoiar quem foi atingido.

O caminho: um anexo num chamado

A explicação mais detalhada está na própria carta de notificação que a EY enviou aos afetados e registrou na Procuradoria-Geral da Califórnia, datada de 13 de julho. A firma presta serviços fiscais a instituições financeiras e, para isso, recebe dados pessoais sobre os investimentos dos clientes dessas instituições.

Até aí, nada fora do comum. O detalhe que importa vem a seguir: a EY usa uma plataforma de gestão de chamados de TI de um terceiro para que a equipe de tecnologia dê suporte aos times que fazem o trabalho tributário. E, nas palavras da carta, “os chamados de suporte enviados pela plataforma podem incluir documentos com informações fiscais de clientes”.

Em 23 de abril, a EY identificou atividade anômala nessa plataforma. A investigação concluiu que, entre 28 de março e 12 de abril, um invasor acessou o sistema e baixou documentos relativos a vários clientes. Segundo as cartas citadas pelo FT, foram expostos nomes, endereços, números de identificação fiscal, e-mails e informações financeiras usadas para preparar declarações de imposto. O jornal britânico também atribui a invasão a uma vulnerabilidade num software da Checkmarx e diz que o grupo ShinyHunters reivindicou o ataque — o mesmo grupo cujo suspeito foi detido na Jordânia dias atrás.

A EY oferece aos afetados 24 meses de monitoramento de crédito e identidade e informou ter avisado as autoridades federais americanas.

Três elos até chegar ao cliente

Vale desenhar a cadeia. O cliente confiou os dados ao banco. O banco contratou uma consultoria para a parte fiscal. A consultoria usava a ferramenta de um terceiro para organizar seus chamados internos. E a ferramenta virou a porta. Nenhum dos três primeiros elos foi invadido — e mesmo assim o dado saiu.

É o mesmo desenho que este blog mostrou na invasão de um emissor de notas fiscais na Polônia, em que milhares de empresas tiveram cadastros expostos por causa de um fornecedor que todas usavam. Muda o país, muda o porte, a lógica é igual: o seu dado está onde o seu fornecedor guarda — e onde o fornecedor do seu fornecedor guarda.

O ponto cego chamado help desk

O caso EY tem uma lição que vale para qualquer empresa, inclusive as que nunca vão contratar uma big four. Sistemas de chamados são feitos para resolver problemas rápido, e a forma mais rápida de explicar um problema é anexar o arquivo que deu problema: a planilha que não fecha, o PDF que não abre, o print da tela com o cadastro do cliente.

Esses anexos raramente passam pela mesma régua de proteção do sistema de origem. Ficam guardados por anos, acessíveis a técnicos, a integrações e, como se viu, a quem conseguir entrar na ferramenta. Na prática, o help desk vira um arquivo paralelo de dados sensíveis que ninguém classificou.

Algumas perguntas simples ajudam a descobrir se isso acontece na sua casa: o sistema de chamados apaga anexos depois de resolvido o problema? Quem consegue abrir chamados antigos? A ferramenta é de um terceiro — e esse terceiro já foi avaliado como fornecedor que trata dados pessoais?

No Brasil, a LGPD não deixa a responsabilidade ir embora junto com o serviço terceirizado: quem coletou o dado do titular continua respondendo por ele, e o operador que o trata em nome da empresa também tem deveres próprios (arts. 39 e 42). Contador, escritório de folha, consultoria tributária, empresa de suporte de TI — todos entram nessa conta.

Seis meses de estrada

A invasão terminou em abril. A carta-modelo da EY é de julho. A confirmação de que clientes do Goldman estavam entre os atingidos chegou ao noticiário em outubro. É o tempo que a informação leva para percorrer a cadeia de volta, de elo em elo, até quem teve o dado exposto — e, enquanto ela viaja, quem comprou os arquivos já teve meio ano para usá-los.

Fontes

• Ernst & Young LLP — carta “Notice of Data Breach” (13/07/2026), registrada na Procuradoria-Geral da Califórnia: oag.ca.gov
• Bloomberg — “Goldman Sachs Ensnared in EY Data Breach Earlier This Year” (07/10/2026), via Accounting Today: accountingtoday.com

• Silicon UK — resumo da reportagem do Financial Times sobre clientes do Goldman Sachs e do Man Group (08/10/2026): silicon.co.uk

• Foto de capa: prédio de escritórios da EY em Atlanta, nos Estados Unidos — Warren LeMay, CC0, via Wikimedia Commons

• Segunda imagem: sede do Goldman Sachs na West Street, em Nova York — Eden, Janine and Jim, CC BY 2.0, via Wikimedia Commons