El grupo de extorsión ShinyHunters ha reivindicado la responsabilidad de una brecha de datos recientemente revelada por la firma de servicios profesionales Ernst & Young (EY), alegando que obtuvo acceso a los sistemas de la empresa mediante una conexión en la cadena de suministro. EY no ha confirmado que ShinyHunters estuviera detrás del incidente, y las afirmaciones del grupo no han sido verificadas de forma independiente.
A principios de este mes, EY reveló que una plataforma de gestión de servicios informáticos de terceros utilizada por sus equipos de soporte había sido comprometida. Según la empresa, la plataforma es utilizada por personal de TI que asiste a equipos que realizan trabajos relacionados con impuestos para clientes.
EY dijo que detectó actividad sospechosa el 23 de abril y determinó que una parte no autorizada tuvo acceso a la plataforma de soporte entre el 28 de marzo y el 12 de abril. Durante ese periodo, se descargaron múltiples documentos del sistema.
La empresa indicó que los tickets de soporte enviados a través de la plataforma pueden contener documentos relacionados con el trabajo fiscal de clientes. Según su notificación, algunos de los archivos descargados incluían información personal y financiera utilizada o asociada con la preparación de declaraciones de impuestos.
EY no ha identificado la plataforma de soporte de terceros implicada en la brecha. La empresa tampoco ha revelado cuántas personas se vieron afectadas ni ha proporcionado un desglose detallado de la información expuesta.
Cuando se anunció el incidente por primera vez, ningún ransomware ni operación de extorsión había reivindicado públicamente la responsabilidad. Eso cambió después de que ShinyHunters añadiera EY a su sitio de filtraciones y amenazara con publicar lo que describió como datos robados de la empresa si no se establecía el contacto antes del 31 de julio de 2026.
El grupo también afirmó haber obtenido las credenciales de EY mediante un ataque en la cadena de suministro antes de usarlas para acceder a los entornos Jira, GitHub y Azure de la compañía. Esas acusaciones provienen únicamente del actor amenazante y no han sido confirmadas ni verificadas de forma independiente por EY.
ShinyHunters no identificó al tercero que afirma que fue comprometido ni aportó pruebas que respalden su versión de la intrusión. El grupo alegó además que obtuvo información adicional más allá de los documentos a los que EY reconoció que se había accedido, pero no reveló la naturaleza de los supuestos datos.
Tras el descubrimiento del incidente, EY afirmó que aseguró el entorno afectado, eliminó el acceso no autorizado y notificó a las fuerzas del orden federales. La empresa no ha comentado públicamente si ha recibido una demanda de extorsión de ShinyHunters o si cree que el grupo fue responsable del ataque.
Como parte de su respuesta, EY ofrece a los clientes afectados 24 meses de servicios de monitorización y restauración de identidad a través de Experian. La empresa no ha anunciado más detalles sobre la investigación, mientras que las afirmaciones hechas por ShinyHunters siguen sin verificarse.