Shiny Hunters vs. Ernst & Young: Was steckt wirklich hinter der Erpressung vom Juli 2026?

Am 27. Juli 2026 tauchte auf der Dark-Web-Seite der berüchtigten Erpressergruppe ShinyHunters eine Behauptung auf: Man habe Ernst & Young (EY), einen der weltweit größten Beratungskonzerne, gehackt. Konkret soll die Gruppe durch eine Kompromittierung einer IT-Plattform eines Drittanbieters, die von EY genutzt wird, an Mitarbeiterzugangsdaten und sensible Dateien gelangt sein. ShinyHunters setzte EY ein Ultimatum: Bis zum 31. Juli 2026 müsse das Unternehmen verhandeln, sonst würden alle gestohlenen Daten veröffentlicht und an den Höchstbietenden verkauft. Die Nachricht auf der Leak-Seite lautete: „Dies ist eine letzte Warnung: Setzt Euch bis zum 31. Juli 2026 mit uns in Verbindung, bevor wir die Daten leaken und an den Höchstbietenden verkaufen.“

Warum Experten zur Vorsicht raten

Sicherheitsanalysten begegnen der Behauptung mit erheblicher Skepsis. Die Gründe dafür sind vielfältig:

• Fehlende Beweise. Das auffälligste Detail: ShinyHunters veröffentlichte keinerlei Belege – keine Screenshots, keine Beispieldatensätze, nichts. Normalerweise untermauert die Gruppe ihre Behauptungen mit solchen Samples, um Druck aufzubauen. Das Fehlen jeglicher Beweise ist ein starkes Indiz für einen Bluff.
• Mitläufer-Effekt. Es besteht die Möglichkeit, dass ShinyHunters hier nur auf eine bereits bekannte und bestätigte Sicherheitslücke aufspringt, um sich selbst zu profilieren. Dieses Verhalten, bekannt als „Bandwagoning“, ist bei Erpresserbanden nicht ungewöhnlich. Sie kapern einen echten Vorfall, um ihre eigene Schlagkraft zu demonstrieren.
• Reputationsschaden. Selbst wenn die Behauptung falsch ist, reicht allein die Nennung eines so hochkarätigen Ziels wie EY aus, um Verunsicherung bei Kunden und Partnern zu stiften – ein Teil der Erpressungsstrategie.

Der bereits bekannte Vorfall bei EY

Unabhängig von ShinyHunters’ Ankündigung hatte EY bereits einen eigenen, bestätigten Sicherheitsvorfall gemeldet, der auf den ersten Blick Ähnlichkeiten aufweist, aber ein anderes Ereignis ist.

• Was ist passiert? Ein Angreifer hatte zwischen dem 28. März und dem 12. April 2026 (also über 15 Tage hinweg) unbemerkt Zugriff auf ein IT-Service-Management-System (ITSM) eines Drittanbieters, das EY für interne Support-Tickets nutzte.
• Welche Daten sind abgeflossen? Der Angreifer lud Dokumente herunter, die höchst sensible Steuer- und Finanzdaten von EY-Mandanten enthielten, darunter Sozialversicherungsnummern, Führerscheinnummern, Kontodaten und Steuererklärungsinformationen.
• Wann wurde der Vorfall entdeckt? EY entdeckte die Anomalie am 23. April 2026 und leitete umgehend eine Untersuchung mit externen Cybersicherheitsexperten ein.
• Rechtliche Konsequenzen: Das Unternehmen informierte die Aufsichtsbehörden in Kalifornien, Maine und mindestens zwei weiteren US-Bundesstaaten. Zudem wurde bereits eine Sammelklage gegen EY eingereicht.

Es ist entscheidend zu verstehen: Der bestätigte Vorfall und die Behauptung von ShinyHunters sind nicht identisch. Ersteres ist ein dokumentiertes Ereignis, das EY selbst gemeldet hat. Letzteres ist eine unbelegte Behauptung, die möglicherweise darauf abzielt, von dem ersten Vorfall zu profitieren.

ShinyHunters‘ Erpressungs-Modell im Jahr 2026

ShinyHunters hat sich 2026 als eine der aktivsten und erfolgreichsten Datendiebstahl- und Erpressergruppen etabliert. Ihr Vorgehen folgt einem klaren, brutalen Muster: Einbruch, Datendiebstahl, Lösegeldforderung, Veröffentlichung oder Verkauf.

Hier eine Auswahl ihrer bekanntesten Kampagnen im Jahr 2026:

Ziel	Monat	Details
Salesforce Experience Cloud (Opfer)	März 2026	Ausnutzung falsch konfigurierter Aura-Endpunkte, betroffen waren Hunderte von Organisationen, darunter Qantas, Allianz Life, LVMH, Adidas, Google, Workday
Instructure Canvas LMS	Mai 2026	Zweimaliger Einbruch innerhalb von 10 Tagen über XSS-Schwachstellen in Free-for-Teacher-Konten; Abfluss von ca. 3,6 TB Daten mit über 275 Millionen Datensätzen von Studierenden. Das FBI gab eine öffentliche Warnung heraus.
Europarat	Juni 2026	Behauptung, 297 GB (über 429.000 Dateien) mit Personal- und Betriebsdaten gestohlen zu haben; Veröffentlichungsfrist bis 16. Juni.
Kodak	Juni 2026	Behauptung des Diebstahls von über 2,2 Millionen Kundendatensätzen; Frist bis 18. Juni. Kodak bestätigte später den Vorfall.
Abbott Laboratories	Juli 2026	Eintrag auf der Leak-Seite mit einer Frist zum 18. Juli, später auf den 21. Juli verschoben.
Ernst & Young	Juli 2026	Behauptung eines Supply-Chain-Angriffs; Frist 31. Juli (derzeit unbelegt).

Die Gruppe operiert nicht mit klassischer Verschlüsselungs-Erpressung (Ransomware), sondern setzt auf Identity-basierte Angriffe wie Voice Phishing (Vishing), Credential Theft, OAuth-Token-Missbrauch und Lieferketten-Kompromittierung. Ein besonders perfides Detail: Wie der Fall PowerSchool zeigte, erpresst ShinyHunters Opfer erneut, selbst wenn sie bereits gezahlt haben. Verhandlungen sind also extrem riskant.

Das FBI, Mandiant (Google) und EclecticIQ haben die Gruppe als finanziell motiviertes, „Extortion-as-a-Service“-Kollektiv eingestuft, das massiv von KI-gestütztem Social Engineering und der Ausnutzung von Cloud-Plattformen profitiert.