ShinyHunters beansprucht EY-Datenleck für sich

Ernst & Young ist das jüngste Großunternehmen, das von der Erpressergruppe ShinyHunters genannt wurde. Die Gruppe behauptet, hinter dem kürzlich bekannt gewordenen Datenleck bei EY zu stecken, nachdem sie durch einen Lieferkettenangriff Zugangsdaten des Unternehmens erlangt hatte.

EY bestätigte Anfang dieses Monats, dass Angreifer eine externe Supportplattform kompromittiert hatten, die von den IT-Teams des Unternehmens genutzt wird. Die gestohlenen Support-Tickets könnten Dokumente mit Steuerinformationen von Kunden enthalten haben.

EY hat eine Beteiligung von ShinyHunters jedoch nicht bestätigt. Das Unternehmen hat zudem weder die betroffene Plattform öffentlich genannt noch mitgeteilt, wie viele Personen betroffen sind.

Angreifer hatten wochenlang Zugriff

EY entdeckte am 23. April ungewöhnliche Aktivitäten und leitete daraufhin eine Untersuchung ein. Das Unternehmen stellte fest, dass sich ein unbefugter Akteur zwischen dem 28. März und dem 12. April Zugang zu der externen Plattform verschafft hatte.

Während dieses Zeitraums lud der Angreifer mehrere Dokumente aus dem System herunter.

Die Plattform unterstützt die IT-Mitarbeiter von EY dabei, Teams technischen Support zu bieten, die steuerbezogene Dienstleistungen für Kunden erbringen. Support-Tickets können daher Dateien mit sensiblen persönlichen und finanziellen Informationen enthalten, die für Steuererklärungen verwendet werden.

EY hat nicht bestätigt, welche Arten von Daten genau offengelegt wurden. Das Unternehmen hat auch nicht mitgeteilt, wie viele Kunden oder Personen möglicherweise von den gestohlenen Daten betroffen sind.

ShinyHunters behauptet Lieferkettenangriff

ShinyHunters nahm Ernst & Young am 27. Juli in seine Datenleck-Seite auf. Die Gruppe droht damit, die angeblich gestohlenen Daten zu veröffentlichen, falls das Unternehmen nicht bis zum 31. Juli 2026 Kontakt aufnimmt.

Die Gruppe behauptet, durch die Kompromittierung eines externen Dienstleisters an Zugangsdaten von EY gelangt zu sein. Laut ShinyHunters ermöglichten diese Zugangsdaten den Zugriff auf die Jira-, GitHub- und Azure-Umgebungen von EY.

Nach Angaben der Gruppe umfasst das offengelegte Material sowohl die bereits von EY bestätigten Informationen als auch zusätzliche Daten. ShinyHunters hat jedoch weder den angeblich kompromittierten Drittanbieter genannt noch Beweise für seine Behauptungen vorgelegt.

Der vollständige Umfang des Datenlecks bei EY bleibt daher unklar.

EY hat Erpressungsforderung nicht bestätigt

EY hat nicht bestätigt, dass ShinyHunters hinter dem Angriff steckt. Das Unternehmen hat zudem nicht öffentlich erklärt, ob es eine Erpressungsforderung erhalten hat.

Nach dem Vorfall erklärte EY, seine Systeme gesichert und den unbefugten Zugriff beendet zu haben. Das Unternehmen informierte außerdem die zuständigen US-Bundesbehörden.

EY bietet betroffenen Kunden unterdessen für 24 Monate Dienste zur Identitätsüberwachung und Wiederherstellung über Experian an.

Der Fall verdeutlicht die Risiken, die externe Supportsysteme für große Unternehmen darstellen können. Selbst wenn Angreifer nicht direkt in das Kernnetzwerk eines Unternehmens eindringen, kann eine kompromittierte Plattform eines Drittanbieters hochsensible Kundendaten offenlegen.