ShinyHunters reclama un ciberataque a Ernst & Young: ¿qué hay de cierto en la extorsión de julio de 2026?

El 27 de julio de 2026, el prolífico grupo de extorsión de datos ShinyHunters publicó en su sitio en la dark web una afirmación en la que aseguraba haber vulnerado a Ernst & Young (EY), una de las mayores firmas de servicios profesionales del mundo. El grupo afirmó haber obtenido credenciales de empleados y archivos confidenciales a través de un compromiso en la cadena de suministro de una plataforma de soporte TI de terceros utilizada por EY. ShinyHunters lanzó un "ultimátum final" con fecha límite el 31 de julio de 2026, amenazando con publicar todos los datos robados si EY no negociaba antes de esa fecha. El aviso en el sitio de filtraciones, actualizado el 27 de julio, decía: "Este es un ultimátum final para que se pongan en contacto antes del 31 de julio de 2026, antes de que filtremos los datos y los vendamos al mejor postor".

Por qué los analistas de ciberseguridad piden cautela

Los expertos tratan la afirmación con escepticismo por varias razones:

• Falta de pruebas. La publicación en el sitio de filtraciones no incluía ninguna muestra de datos, capturas de pantalla ni otras pruebas de la vulneración, algo que se desvía de la práctica habitual de ShinyHunters de publicar muestras para respaldar sus afirmaciones.
• Posible aprovechamiento oportunista. Es posible que el grupo esté aprovechando una brecha de seguridad real ya divulgada por EY (ver más abajo) para atribuirse un mérito que no le corresponde. Este es un patrón conocido en el que los grupos de extorsión se atribuyen falsamente incidentes para ganar notoriedad.
• El daño reputacional de la simple amenaza. Incluso si la afirmación es falsa, el simple hecho de mencionar a un objetivo de alto valor puede dañar su reputación y generar confusión entre clientes y socios.

La filtración previa de EY: un incidente separado y confirmado

Antes de la afirmación de ShinyHunters, EY ya había revelado una filtración de datos separada y confirmada que afectaba a una plataforma de gestión de servicios TI (ITSM) de un tercero, utilizada para tickets de soporte interno. Los detalles clave son:

• El compromiso fue detectado el 23 de abril de 2026. Los atacantes accedieron al sistema de asistencia gestionado por el proveedor entre el 28 de marzo y el 12 de abril de 2026, una ventana de 15 días.
• Los intrusos descargaron documentos que contenían información fiscal y financiera de los clientes, incluyendo números de la Seguridad Social, números de licencia de conducir, datos de cuentas financieras e información de declaraciones de impuestos.
• EY presentó notificaciones formales ante los reguladores de California, Maine y al menos otros dos estados en julio de 2026.
• Al menos una demanda colectiva se ha presentado contra EY por esta filtración.

La filtración confirmada de EY y la afirmación de ShinyHunters no son el mismo incidente: la primera es un evento documentado que EY reveló; la segunda es una afirmación sin fundamento que puede o no estar relacionada.

El patrón de extorsión de ShinyHunters durante 2026

ShinyHunters ha sido uno de los grupos de robo y extorsión de datos más prolíficos de 2026, operando con un modelo consistente de "violar, extraer, exigir y publicar o vender". Las principales campañas de 2026 incluyen:

Objetivo	Mes	Detalles
Víctimas de Salesforce Experience Cloud	marzo de 2026	Explotaron endpoints Aura mal configurados, afectando a cientos de organizaciones como Qantas, Allianz Life, LVMH, Adidas, Google, Workday
Instructure Canvas LMS	mayo de 2026	Vulnerado dos veces en 10 días mediante XSS en cuentas Free-for-Teacher; extrajeron ~3.6 TB de datos afectando a más de 275 millones de registros de estudiantes. El FBI emitió un aviso.
Consejo de Europa	junio de 2026	Afirmaron el robo de 297 GB (más de 429.000 archivos) de datos de RR.HH. y operativos; amenazaron con publicarlos antes del 16 de junio
Kodak	junio de 2026	Afirmaron haber robado 2,2 millones de registros de información personal de clientes; fijaron un plazo de filtración el 18 de junio; Kodak confirmó posteriormente la filtración
Abbott Laboratories	julio de 2026	Publicaron a Abbott en su sitio de filtraciones con un plazo el 18 de julio, posteriormente aplazado al 21 de julio
Ernst & Young	julio de 2026	Afirmaron una vulneración en la cadena de suministro; plazo el 31 de julio (sin confirmar en el momento de redactar este artículo)

Las tácticas del grupo se basan en phishing de voz (vishing), robo de credenciales, abuso de tokens OAuth y compromiso de la cadena de suministro, en lugar de ransomware basado en cifrado. Los analistas también señalan que ShinyHunters ha vuelto a extorsionar a víctimas después de recibir el pago, como en el caso de PowerSchool, lo que convierte la negociación en una estrategia arriesgada.

El FBI, Mandiant y EclecticIQ han emitido avisos en los que rastrean a ShinyHunters como un colectivo de extorsión como servicio motivado por fines económicos que se ha expandido rápidamente mediante la ingeniería social habilitada por IA y la explotación de plataformas SaaS.