ShinyHunters reclama un ciberataque a Ernst & Young: ¿qué hay de cierto en la extorsión de julio de 2026?

Por qué los analistas de ciberseguridad piden cautela

Los expertos tratan la afirmación con escepticismo por varias razones:

• Falta de pruebas. La publicación en el sitio de filtraciones no incluía ninguna muestra de datos, capturas de pantalla ni otras pruebas de la vulneración, algo que se desvía de la práctica habitual de ShinyHunters de publicar muestras para respaldar sus afirmaciones.
• Posible aprovechamiento oportunista. Es posible que el grupo esté aprovechando una brecha de seguridad real ya divulgada por EY (ver más abajo) para atribuirse un mérito que no le corresponde. Este es un patrón conocido en el que los grupos de extorsión se atribuyen falsamente incidentes para ganar notoriedad.
• El daño reputacional de la simple amenaza. Incluso si la afirmación es falsa, el simple hecho de mencionar a un objetivo de alto valor puede dañar su reputación y generar confusión entre clientes y socios.

La filtración previa de EY: un incidente separado y confirmado

Antes de la afirmación de ShinyHunters, EY ya había revelado una filtración de datos separada y confirmada que afectaba a una plataforma de gestión de servicios TI (ITSM) de un tercero, utilizada para tickets de soporte interno. Los detalles clave son:

• El compromiso fue detectado el 23 de abril de 2026. Los atacantes accedieron al sistema de asistencia gestionado por el proveedor entre el 28 de marzo y el 12 de abril de 2026, una ventana de 15 días.
• Los intrusos descargaron documentos que contenían información fiscal y financiera de los clientes, incluyendo números de la Seguridad Social, números de licencia de conducir, datos de cuentas financieras e información de declaraciones de impuestos.
• EY presentó notificaciones formales ante los reguladores de California, Maine y al menos otros dos estados en julio de 2026.
• Al menos una demanda colectiva se ha presentado contra EY por esta filtración.

La filtración confirmada de EY y la afirmación de ShinyHunters no son el mismo incidente: la primera es un evento documentado que EY reveló; la segunda es una afirmación sin fundamento que puede o no estar relacionada.

El patrón de extorsión de ShinyHunters durante 2026

ShinyHunters ha sido uno de los grupos de robo y extorsión de datos más prolíficos de 2026, operando con un modelo consistente de "violar, extraer, exigir y publicar o vender". Las principales campañas de 2026 incluyen:

Las tácticas del grupo se basan en phishing de voz (vishing), robo de credenciales, abuso de tokens OAuth y compromiso de la cadena de suministro, en lugar de ransomware basado en cifrado. Los analistas también señalan que ShinyHunters ha vuelto a extorsionar a víctimas después de recibir el pago, como en el caso de PowerSchool, lo que convierte la negociación en una estrategia arriesgada.

El FBI, Mandiant y EclecticIQ han emitido avisos en los que rastrean a ShinyHunters como un colectivo de extorsión como servicio motivado por fines económicos que se ha expandido rápidamente mediante la ingeniería social habilitada por IA y la explotación de plataformas SaaS.