ShinyHunters hævder et EY-angreb – men beviserne mangler

”This is a final warning to reach out by 31 July 2026 before we leak along with selling the data to the highest bidder.”

Påstanden er ikke det samme som et bekræftet angreb

Der er endnu ikke offentligt fremlagt dokumentation for, at ShinyHunters faktisk stod bag et nyt angreb på EY. Analytikere anbefaler derfor betydelig forsigtighed af flere grunde:

• Ingen prøvedata: Lækstedet indeholdt hverken dokumentuddrag, skærmbilleder eller andre konkrete beviser på kompromittering. Det skiller sig ud fra flere af gruppens tidligere opslag, hvor prøver er blevet brugt til at understøtte påstandene.
• Mulig kapring af et eksisterende databrud: ShinyHunters kan forsøge at koble sit navn på et reelt databrud, som allerede var blevet offentliggjort, uden selv at have stået bag det. Kriminelle afpresningsgrupper har tidligere fremsat overdrevne eller falske krav om ansvar for at skabe opmærksomhed og presse ofre.
• Truslen kan være effektiv uden et nyt indbrud: Alene det at nævne en stor virksomhed kan skabe uro blandt kunder, samarbejdspartnere og investorer – også hvis påstanden senere viser sig at være falsk.

På tidspunktet for påstanden havde EY ikke offentligt bekræftet netop ShinyHunters’ krav, og der var ikke fremkommet stjålne data på undergrundsfora.

EY havde allerede meldt om et separat databrud

Forvirringen skyldes blandt andet, at EY tidligere havde oplyst om et bekræftet databrud via en tredjepart. Hændelsen involverede en ekstern it-serviceadministrationsplatform, der blev brugt til interne supportsager.

De centrale oplysninger er:

• EY opdagede uregelmæssig aktivitet 23. april 2026.
• En uautoriseret part havde haft adgang til den leverandørdrevne supportplatform fra 28. marts til 12. april 2026 – en periode på 15 dage.
• Angriberne downloadede dokumenter med klienters skatte- og finansoplysninger. Materialet kunne blandt andet indeholde amerikanske Social Security-numre, kørekortnumre, kontooplysninger og oplysninger fra skatteindberetninger.
• EY indsendte formelle anmeldelser til myndigheder i Californien, Maine og mindst to andre amerikanske delstater i juli 2026.
• Mindst ét gruppesøgsmål er blevet anlagt mod EY i forbindelse med hændelsen.

Det er afgørende at skelne mellem de to forhold: EY’s databrud via den eksterne supportplatform er en dokumenteret hændelse, som virksomheden har oplyst om. ShinyHunters’ påstand om et specifikt angreb er derimod ikke underbygget og kan være forbundet med det tidligere brud – men det er ikke fastslået.

Et afpresningsmønster, der går igen i 2026

ShinyHunters’ model handler først og fremmest om datatyveri og afpresning, ikke om traditionel ransomware, hvor systemer krypteres. Arbejdsgangen kan kort beskrives som: få adgang, kopier data, kræv betaling, og offentliggør eller sælg materialet, hvis offeret ikke betaler.

Gruppen er i 2026 blevet kædet sammen med en række store kampagner og krav:

Analytikere beskriver en værktøjskasse, der blandt andet omfatter telefonbaseret phishing, tyveri af loginoplysninger, misbrug af OAuth-tokens og kompromittering af leverandører. I flere tilfælde forsøger angriberne at få adgang til virksomheders single sign-on- og cloudtjenester ved at udgive sig for at være medarbejdere, supportpersonale eller andre betroede kontakter.

Der er også rapporter om, at ofre kan blive afpresset igen efter en betaling – blandt andet i PowerSchool-sagen. Det gør en forhandling med gruppen til en usikker strategi, fordi betaling ikke nødvendigvis garanterer, at data forbliver private.

FBI, Mandiant og EclecticIQ har beskrevet ShinyHunters som en økonomisk motiveret sammenslutning, der arbejder med datatyveri og afpresning og i stigende grad udnytter cloudbaserede SaaS-platforme, social engineering og AI-understøttet stemmephishing.

Konklusion: EY-bruddet er bekræftet – ShinyHunters’ rolle er ikke

Det sikre billede er derfor todelt: EY har tidligere bekræftet, at en ekstern it-supportplatform blev kompromitteret, og at dokumenter med følsomme klientoplysninger blev hentet. Men ShinyHunters’ efterfølgende påstand om at have stået bag et EY-angreb er ikke i sig selv bevis på, at gruppen havde adgang til systemerne.

Indtil EY eller en uafhængig undersøgelse bekræfter en sammenhæng – eller ShinyHunters fremlægger verificerbare data – bør kravet behandles som en ubekræftet afpresningspåstand, ikke som et nyt dokumenteret databrud.