Il gruppo di estorsione ShinyHunters ha rivendicato la responsabilità di una violazione dei dati recentemente resa pubblica dalla società di servizi professionali Ernst & Young (EY), sostenendo di aver ottenuto accesso ai sistemi dell’azienda tramite una compromissione della catena di approvvigionamento. EY non ha confermato che ShinyHunters fosse responsabile dell’incidente, e le affermazioni del gruppo non sono state verificate in modo indipendente.
All’inizio di questo mese, EY ha rivelato che una piattaforma di gestione dei servizi IT di terze parti utilizzata dai suoi team di supporto era stata compromessa. Secondo l’azienda, la piattaforma è utilizzata dal personale IT che assiste i team che svolgono lavori fiscali per i clienti.
EY ha dichiarato di aver rilevato attività sospette il 23 aprile e di aver stabilito che una parte non autorizzata aveva accesso alla piattaforma di supporto tra il 28 marzo e il 12 aprile. Durante quel periodo, sono stati scaricati diversi documenti dal sistema.
L’azienda ha dichiarato che i ticket di supporto inviati tramite la piattaforma potrebbero contenere documenti relativi al lavoro fiscale dei clienti. Secondo la notifica, alcuni dei file scaricati includevano informazioni personali e finanziarie utilizzate o associate alla preparazione delle dichiarazioni fiscali.
EY non ha identificato la piattaforma di supporto di terze parti coinvolta nella violazione. L’azienda non ha inoltre rivelato quante persone siano state coinvolte né ha fornito una suddivisione dettagliata delle informazioni esposte.
Quando l’incidente è stato annunciato per la prima volta, nessuna operazione ransomware o di estorsione aveva pubblicamente rivendicato la responsabilità. Questo è cambiato dopo che ShinyHunters ha aggiunto EY al sito di fuga di notizie e ha minacciato di pubblicare quelli che ha descritto come dati aziendali rubati se il contatto non fosse stato stabilito prima del 31 luglio 2026.
Il gruppo ha inoltre affermato di aver ottenuto le credenziali EY tramite un attacco alla catena di approvvigionamento prima di usarle per accedere agli ambienti Jira, GitHub e Azure dell’azienda. Tali accuse derivano esclusivamente dall’attore della minaccia e non sono state confermate da EY né verificate in modo indipendente.
ShinyHunters non ha identificato la terza parte che sostiene sia stata compromessa né ha fornito prove a sostegno della sua versione dell’intrusione. Il gruppo ha inoltre affermato di aver ottenuto ulteriori informazioni oltre ai documenti a cui EY ha riconosciuto essere stato accesso, ma non ha divulgato la natura dei dati presunti.
Dopo la scoperta dell’incidente, EY ha dichiarato di aver messo in sicurezza l’ambiente interessato, rimosso l’accesso non autorizzato e informato le forze dell’ordine federali. L’azienda non ha commentato pubblicamente se abbia ricevuto una richiesta di estorsione da ShinyHunters o se ritenga che il gruppo sia responsabile dell’attacco.
Come parte della sua risposta, EY offre ai clienti interessati 24 mesi di servizi di monitoraggio e ripristino dell’identità tramite Experian. L’azienda non ha annunciato ulteriori dettagli sull’indagine, mentre le affermazioni avanzate da ShinyHunters restano non verificate.