EY-dataintrång uppges ligga bakom ShinyHunters

Ernst & Young är det senaste storföretaget som pekats ut av utpressningsgruppen ShinyHunters. Gruppen hävdar att den låg bakom det nyligen avslöjade dataintrånget hos EY efter att ha kommit över företagets inloggningsuppgifter genom en attack mot leveranskedjan.

EY bekräftade tidigare denna månad att angripare hade komprometterat en extern supportplattform som används av företagets IT-team. De stulna supportärendena kan ha innehållit dokument med kunders skatteuppgifter.

EY har dock inte bekräftat att ShinyHunters låg bakom attacken. Företaget har inte heller offentliggjort vilken plattform som drabbades eller hur många personer som berörs.

Angripare hade åtkomst i flera veckor

EY upptäckte ovanlig aktivitet den 23 april och inledde därefter en utredning. Företaget fastställde att en obehörig aktör hade haft tillgång till den externa plattformen mellan den 28 mars och 12 april.

Under denna period laddade angriparen ner flera dokument från systemet.

Plattformen används av EY IT-personal för att ge teknisk support till team som arbetar med skatterelaterade tjänster åt kunder. Supportärenden kan därför innehålla filer med känsliga personuppgifter och finansiell information som används i skattedeklarationer.

EY har inte bekräftat exakt vilka typer av uppgifter som exponerades. Företaget har inte heller uppgett hur många kunder eller personer som kan ha haft information i de stulna dokumenten.

ShinyHunters hävdar leveranskedjeattack

ShinyHunters lade till Ernst & Young på sin dataläckagesajt den 27 juli. Gruppen hotar att publicera de påstått stulna uppgifterna om företaget inte tar kontakt senast den 31 juli 2026.

Gruppen hävdar att den kom över EY inloggningsuppgifter genom att kompromettera en extern leverantör. Enligt ShinyHunters gav uppgifterna tillgång till EY miljöer i Jira, GitHub och Azure.

Gruppen uppger att det exponerade materialet omfattar både den information som EY redan har bekräftat och ytterligare data. ShinyHunters har dock inte identifierat den påstått komprometterade leverantören eller presenterat bevis som styrker uppgifterna.

Den fullständiga omfattningen av dataintrånget hos EY är därför fortfarande oklar.

EY har inte bekräftat utpressningskravet

EY har inte bekräftat att ShinyHunters låg bakom attacken. Företaget har inte heller offentligt uppgett om det har mottagit något utpressningskrav.

Efter incidenten uppgav EY att företaget säkrade sina system och stoppade den obehöriga åtkomsten. Företaget informerade även federala brottsbekämpande myndigheter.

Samtidigt erbjuder EY berörda kunder 24 månaders identitetsövervakning och återställningstjänster genom Experian.

Fallet visar vilka risker externa supportsystem kan innebära för stora organisationer. Även när angripare inte tar sig direkt in i ett företags kärnnätverk kan en komprometterad leverantörsplattform exponera mycket känsliga kunduppgifter.