ShinyHunters tvrdí, že napadli Ernst & Young: mezi potvrzeným únikem a neověřeným vydíráním

Důležité je, že samotné tvrzení zatím není důkazem nového útoku.

Proč analytici doporučují opatrnost

Bezpečnostní odborníci přistupují k oznámení se značnou skepsí. Hlavní důvody jsou tři:

• Chybí důkazy o napadení. Příspěvek neobsahoval ukázky dat, snímky obrazovky ani jiné materiály, kterými by skupina svůj přístup doložila. To je pozoruhodné i proto, že ShinyHunters v minulosti často zveřejňovali vzorky dat jako důkaz svých tvrzení.
• Může jít o přivlastnění cizího incidentu. Skupina se možná snaží spojit svou značku se skutečným, již oznámeným útokem, na kterém se nemusela nijak podílet. Podobné skupiny někdy připisují zásluhy za již známé úniky samy sobě, aby zvýšily svou reputaci a tlak na oběť.
• Samotná hrozba vytváří škody. I nepravdivé tvrzení může poškodit pověst firmy a vyvolat zmatek mezi jejími klienty, zaměstnanci a obchodními partnery.

Z dostupných informací tedy nelze potvrdit, že ShinyHunters skutečně stojí za útokem, který popisují. EY podle uvedených zpráv jejich konkrétní tvrzení veřejně nepotvrdila.

EY už dříve oznámila jiný únik dat

Ještě před zveřejněním tvrzení ShinyHunters EY oznámila samostatný a potvrzený incident, který se týkal externí platformy pro správu IT služeb a interních požadavků technické podpory.

Podle zveřejněných informací:

• EY incident odhalila 23. dubna 2026. Neoprávněná osoba měla do systémů spravovaných dodavatelem přístup od 28. března do 12. dubna 2026, tedy po dobu 15 dnů.
• Útočníci stáhli dokumenty obsahující daňové a finanční informace klientů. Mezi potenciálně zasažené údaje patřila čísla sociálního zabezpečení, čísla řidičských průkazů, údaje o finančních účtech a informace z daňových přiznání.
• EY v červenci 2026 podala oficiální oznámení regulačním úřadům v Kalifornii, Maine a nejméně dalších dvou státech USA.
• V souvislosti s tímto incidentem byla podána nejméně jedna hromadná žaloba.

Tyto dvě události nelze automaticky spojovat. Únik přes externí IT platformu je dokumentovaný incident, který EY oznámila. Tvrzení ShinyHunters o samostatném napadení je naproti tomu v době zveřejnění těchto informací neověřené. Není jasné, zda spolu případy souvisejí, nebo zda se skupina pouze snaží využít pozornosti kolem již známého úniku.

Opakující se model ShinyHunters v roce 2026

ShinyHunters patří v roce 2026 k nejaktivnějším skupinám zaměřeným na krádeže dat a vydírání. Jejich opakující se model lze zjednodušit jako: proniknout do systému, odcizit data, požadovat peníze a následně data zveřejnit nebo prodat.

Mezi výrazné případy a tvrzení připisované skupině v roce 2026 patří:

Skupina se přitom nesoustředí především na klasický ransomware, který zašifruje firemní počítače. Její postup stojí hlavně na telefonním phishingu (vishingu), krádežích přihlašovacích údajů, zneužití tokenů OAuth a kompromitaci dodavatelů.

Analytici také upozorňují, že ShinyHunters v některých případech oběti vydíralo opakovaně i po zaplacení — nejznáměji v případu PowerSchool. To znamená, že zaplacení nemusí vydírání ukončit a může představovat rizikovou strategii.

FBI, Mandiant i EclecticIQ skupinu sledují jako finančně motivované kriminální uskupení, které využívá vydírání jako službu a rychle rozšiřuje své aktivity prostřednictvím sociálního inženýrství podporovaného umělou inteligencí a útoků na cloudové platformy typu SaaS.

Verdikt: potvrzený únik ano, spojení se ShinyHunters zatím ne

Nejpevnější závěr je zatím jednoduchý: EY skutečně oznámila únik klientských daňových a finančních údajů přes externí IT platformu, ale není potvrzeno, že za tímto incidentem stojí ShinyHunters. Červencové tvrzení skupiny může odkazovat na stejný případ, na jiný útok, nebo na pokus přivlastnit si již zveřejněný incident. Dokud se neobjeví ověřitelné vzorky dat, vyjádření EY nebo nezávislé forenzní potvrzení, je namístě rozlišovat mezi doloženou událostí a pouhou vyděračskou deklarací.