O grupo de extorsão ShinyHunters reivindicou a responsabilidade por uma violação de dados recentemente divulgada pela empresa de serviços profissionais Ernst & Young (EY), alegando que obteve acesso aos sistemas da empresa por meio de um comprometimento na cadeia de suprimentos. A EY não confirmou que a ShinyHunters estava por trás do incidente, e as alegações do grupo não foram verificadas de forma independente.
No início deste mês, a EY revelou que uma plataforma de gerenciamento de serviços de TI de terceiros usada por suas equipes de suporte havia sido comprometida. Segundo a empresa, a plataforma é utilizada por pessoal de TI que auxilia equipes que realizam trabalhos relacionados a impostos para clientes.
A EY informou que detectou atividade suspeita em 23 de abril e determinou que uma parte não autorizada teve acesso à plataforma de suporte entre 28 de março e 12 de abril. Durante esse período, vários documentos foram baixados do sistema.
A empresa afirmou que os chamados de suporte enviados pela plataforma podem conter documentos relacionados ao trabalho tributário de clientes. De acordo com sua notificação, alguns dos arquivos baixados incluíam informações pessoais e financeiras usadas ou associadas à preparação da declaração de imposto de renda.
A EY não identificou a plataforma de suporte de terceiros envolvida na violação. A empresa também não divulgou quantas pessoas foram afetadas nem forneceu uma análise detalhada das informações expostas.
Quando o incidente foi anunciado pela primeira vez, nenhuma operação de ransomware ou extorsão havia reivindicado publicamente a responsabilidade. Isso mudou depois que a ShinyHunters adicionou a EY ao seu site de vazamento e ameaçou publicar o que descreveu como dados roubados da empresa caso o contato não fosse estabelecido antes de 31 de julho de 2026.
O grupo também afirmou ter obtido credenciais da EY por meio de um ataque à cadeia de suprimentos antes de usá-las para acessar os ambientes Jira, GitHub e Azure da empresa. Essas alegações têm origem exclusivamente no agente ameaçador e não foram confirmadas pela EY nem verificadas de forma independente.
A ShinyHunters não identificou o terceiro que afirma ter sido comprometida nem forneceu evidências que sustentem seu relato da invasão. O grupo ainda alegou que obteve informações adicionais além dos documentos que a EY reconheceu terem sido acessados, mas não divulgou a natureza dos supostos dados.
Após a descoberta do incidente, a EY afirmou que protegeu o ambiente afetado, removeu o acesso não autorizado e notificou as autoridades federais. A empresa não comentou publicamente se recebeu uma exigência de extorsão da ShinyHunters ou se acredita que o grupo foi responsável pelo ataque.
Como parte de sua resposta, a EY está oferecendo aos clientes afetados 24 meses de serviços de monitoramento e restauração de identidade por meio da Experian. A empresa não anunciou mais detalhes sobre a investigação, enquanto as alegações feitas pelos ShinyHunters permanecem não verificadas.