Die Erpressungsgruppe ShinyHunters hat die Verantwortung für eine Datenpanne übernommen, die kürzlich von der Dienstleistungsfirma Ernst & Young (EY) offengelegt wurde, und behauptet, durch eine Lieferkettenkompromittierung Zugang zu den Systemen des Unternehmens erhalten zu haben. EY hat nicht bestätigt, dass ShinyHunters hinter dem Vorfall steckt, und die Behauptungen der Gruppe wurden nicht unabhängig überprüft.
Anfang dieses Monats gab EY bekannt, dass eine von seinen Support-Teams genutzte IT-Service-Management-Plattform von Drittanbietern kompromittiert wurde. Laut dem Unternehmen wird die Plattform von IT-Personal genutzt, die Teams unterstützen, die steuerbezogene Arbeiten für Kunden ausführen.
EY gab an, am 23. April verdächtige Aktivitäten entdeckt zu haben und festgestellt zu haben, dass eine unbefugte Partei zwischen dem 28. März und dem 12. April Zugang zur Unterstützungsplattform hatte. In diesem Zeitraum wurden mehrere Dokumente aus dem System heruntergeladen.
Das Unternehmen erklärte, dass Support-Tickets, die über die Plattform eingereicht werden, Dokumente im Zusammenhang mit Steuerarbeiten von Kunden enthalten könnten. Laut der Benachrichtigung enthielten einige der heruntergeladenen Dateien persönliche und finanzielle Informationen, die bei der Erstellung der Steuererklärung verwendet oder im Zusammenhang stehen.
EY hat die Drittanbieter-Unterstützungsplattform, die an der Sicherheitspanne beteiligt ist, nicht identifiziert. Das Unternehmen hat auch nicht bekannt gegeben, wie viele betroffene Personen betroffen waren, oder eine detaillierte Aufschlüsselung der veröffentlichten Informationen bereitgestellt.
Als der Vorfall erstmals bekannt gegeben wurde, hatte keine Ransomware- oder Erpressungsoperation öffentlich die Verantwortung übernommen. Das änderte sich, nachdem ShinyHunters EY zu seiner Leak-Seite hinzugefügt und damit drohte, Daten des als gestohlenen Unternehmens bezeichneten Daten zu veröffentlichen, falls kein Kontakt vor dem 31. Juli 2026 hergestellt würde.
Die Gruppe behauptete außerdem, EY-Zugangsdaten durch einen Supply-Chain-Angriff erhalten zu haben, bevor sie diese nutzte, um auf die Jira-, GitHub- und Azure-Umgebungen des Unternehmens zuzugreifen. Diese Vorwürfe stammen ausschließlich vom Bedrohungsakteur und wurden von EY weder bestätigt noch unabhängig verifiziert.
ShinyHunters identifizierte nicht die Dritte, von der sie behaupteten, sie sei kompromittiert, noch lieferte Beweise für ihre Darstellung des Einbruchs. Die Gruppe behauptete außerdem, zusätzliche Informationen über die Dokumente hinaus erhalten zu haben, von denen EY zugegeben hatte, dass sie zugänglich waren, offenbarte jedoch nicht die Art der angeblichen Daten.
Nach der Entdeckung des Vorfalls erklärte EY, dass die betroffene Umgebung gesichert, der unbefugte Zugang entfernt und die Bundesstrafverfolgungsbehörden benachrichtigt wurde. Das Unternehmen hat sich öffentlich nicht dazu geäußert, ob es eine Erpressungsforderung von ShinyHunters erhalten hat oder ob es glaubt, die Gruppe sei für den Angriff verantwortlich.
Im Rahmen seiner Reaktion bietet EY betroffenen Kunden über Experian 24 Monate lang Identitätsüberwachung und Identitätswiederherstellung an. Das Unternehmen hat keine weiteren Details zur Untersuchung bekannt gegeben, während die von ShinyHunters erhobenen Behauptungen weiterhin nicht bestätigt sind.