Shiny Hunters vs. Ernst & Young: Was steckt wirklich hinter der Erpressung vom Juli 2026?

Warum Experten zur Vorsicht raten

Sicherheitsanalysten begegnen der Behauptung mit erheblicher Skepsis. Die Gründe dafür sind vielfältig:

• Fehlende Beweise. Das auffälligste Detail: ShinyHunters veröffentlichte keinerlei Belege – keine Screenshots, keine Beispieldatensätze, nichts. Normalerweise untermauert die Gruppe ihre Behauptungen mit solchen Samples, um Druck aufzubauen. Das Fehlen jeglicher Beweise ist ein starkes Indiz für einen Bluff.
• Mitläufer-Effekt. Es besteht die Möglichkeit, dass ShinyHunters hier nur auf eine bereits bekannte und bestätigte Sicherheitslücke aufspringt, um sich selbst zu profilieren. Dieses Verhalten, bekannt als „Bandwagoning“, ist bei Erpresserbanden nicht ungewöhnlich. Sie kapern einen echten Vorfall, um ihre eigene Schlagkraft zu demonstrieren.
• Reputationsschaden. Selbst wenn die Behauptung falsch ist, reicht allein die Nennung eines so hochkarätigen Ziels wie EY aus, um Verunsicherung bei Kunden und Partnern zu stiften – ein Teil der Erpressungsstrategie.

Der bereits bekannte Vorfall bei EY

Unabhängig von ShinyHunters’ Ankündigung hatte EY bereits einen eigenen, bestätigten Sicherheitsvorfall gemeldet, der auf den ersten Blick Ähnlichkeiten aufweist, aber ein anderes Ereignis ist.

• Was ist passiert? Ein Angreifer hatte zwischen dem 28. März und dem 12. April 2026 (also über 15 Tage hinweg) unbemerkt Zugriff auf ein IT-Service-Management-System (ITSM) eines Drittanbieters, das EY für interne Support-Tickets nutzte.
• Welche Daten sind abgeflossen? Der Angreifer lud Dokumente herunter, die höchst sensible Steuer- und Finanzdaten von EY-Mandanten enthielten, darunter Sozialversicherungsnummern, Führerscheinnummern, Kontodaten und Steuererklärungsinformationen.
• Wann wurde der Vorfall entdeckt? EY entdeckte die Anomalie am 23. April 2026 und leitete umgehend eine Untersuchung mit externen Cybersicherheitsexperten ein.
• Rechtliche Konsequenzen: Das Unternehmen informierte die Aufsichtsbehörden in Kalifornien, Maine und mindestens zwei weiteren US-Bundesstaaten. Zudem wurde bereits eine Sammelklage gegen EY eingereicht.

Es ist entscheidend zu verstehen: Der bestätigte Vorfall und die Behauptung von ShinyHunters sind nicht identisch. Ersteres ist ein dokumentiertes Ereignis, das EY selbst gemeldet hat. Letzteres ist eine unbelegte Behauptung, die möglicherweise darauf abzielt, von dem ersten Vorfall zu profitieren.

ShinyHunters‘ Erpressungs-Modell im Jahr 2026

ShinyHunters hat sich 2026 als eine der aktivsten und erfolgreichsten Datendiebstahl- und Erpressergruppen etabliert. Ihr Vorgehen folgt einem klaren, brutalen Muster: Einbruch, Datendiebstahl, Lösegeldforderung, Veröffentlichung oder Verkauf.

Hier eine Auswahl ihrer bekanntesten Kampagnen im Jahr 2026:

Die Gruppe operiert nicht mit klassischer Verschlüsselungs-Erpressung (Ransomware), sondern setzt auf Identity-basierte Angriffe wie Voice Phishing (Vishing), Credential Theft, OAuth-Token-Missbrauch und Lieferketten-Kompromittierung. Ein besonders perfides Detail: Wie der Fall PowerSchool zeigte, erpresst ShinyHunters Opfer erneut, selbst wenn sie bereits gezahlt haben. Verhandlungen sind also extrem riskant.

Das FBI, Mandiant (Google) und EclecticIQ haben die Gruppe als finanziell motiviertes, „Extortion-as-a-Service“-Kollektiv eingestuft, das massiv von KI-gestütztem Social Engineering und der Ausnutzung von Cloud-Plattformen profitiert.