ShinyHunters väittää murtautuneensa EY:n järjestelmiin – mitä tapauksesta todella tiedetään?

Miksi väitteeseen suhtaudutaan varauksella?

Kyberturvallisuusasiantuntijat eivät ole pitäneet väitettä vahvistettuna tietomurtona. Syitä varovaisuuteen on useita:

• Todisteita ei esitetty. Julkaisussa ei ollut näytteitä varastetusta aineistosta, kuvakaappauksia tai muuta näyttöä onnistuneesta murrosta. Tämä poikkeaa siitä, miten ShinyHunters on usein pyrkinyt todistamaan väitteitään.
• Ryhmä saattaa ottaa kunnian toisesta murrosta. ShinyHunters voi yrittää yhdistää nimensä jo aiemmin julkistettuun, todelliseen tietoturvaloukkaukseen, johon sillä ei välttämättä ole yhteyttä. Kyberrikollisryhmät ovat toisinaan väittäneet olevansa vastuussa muiden tekemistä iskuista maineen ja painostusvoiman kasvattamiseksi.
• Pelkkä väitekin aiheuttaa vahinkoa. Korkean profiilin yrityksen nimeäminen vuotosivustolla voi synnyttää epävarmuutta asiakkaissa ja yhteistyökumppaneissa, vaikka itse väite osoittautuisi myöhemmin perättömäksi.

Tässä vaiheessa olennaista on erottaa toisistaan ShinyHuntersin vahvistamaton väite ja EY:n aiemmin ilmoittama, erillinen tietomurto.

EY oli jo kertonut toisesta tietomurrosta

Ennen ShinyHuntersin julkaisua EY oli ilmoittanut erillisestä tietoturvaloukkauksesta, joka koski yrityksen sisäiseen IT-tukeen käytettyä ulkopuolisen palveluntarjoajan IT-palvelunhallinta-alustaa.

Tapahtumien aikajana oli seuraava:

• Luvaton käyttö tapahtui 28. maaliskuuta–12. huhtikuuta 2026, eli noin 15 päivän ajan. EY havaitsi poikkeavan toiminnan 23. huhtikuuta 2026.
• Hyökkääjät latasivat asiakirjoja, joissa oli asiakkaiden vero- ja taloustietoja. Aineistoon saattoi sisältyä esimerkiksi yhdysvaltalaisia sosiaaliturvatunnuksia, ajokorttinumeroita, taloustilitietoja ja veroilmoituksiin liittyviä tietoja.
• EY teki heinäkuussa viranomaisilmoituksia Kaliforniassa, Mainessa ja vähintään kahdessa muussa Yhdysvaltain osavaltiossa.
• Tietomurrosta on nostettu ainakin yksi ryhmäkanne EY:tä vastaan.

Vahvistettu kolmannen osapuolen tietomurto ja ShinyHuntersin heinäkuinen väite eivät ole sama asia. Ensimmäinen perustuu EY:n ilmoittamaan ja tutkittuun tapahtumaan. Jälkimmäinen on toistaiseksi todentamaton väite, jonka yhteyttä aiempaan murtoon ei ole vahvistettu.

ShinyHuntersin toimintamalli vuonna 2026

ShinyHunters on kuulunut vuoden 2026 aktiivisimpiin tietovarkaus- ja kiristysryhmiin. Sen toistuva toimintamalli on yksinkertaistettuna: murtaudu, varasta tiedot, vaadi maksua ja julkaise tai myy aineisto, jos uhri ei suostu.

Vuoden aikana ryhmään liitettyjä tapauksia ovat muun muassa:

Kyse ei ole perinteisestä kiristyshaittaohjelmasta

ShinyHuntersin toiminta ei yleensä perustu yrityksen järjestelmien salaamiseen, kuten perinteisissä kiristyshaittaohjelmahyökkäyksissä. Ryhmä pyrkii ensisijaisesti varastamaan suuria tietomääriä ja käyttämään niitä painostuskeinona.

Sen käyttämiin menetelmiin on liitetty muun muassa:

• vishing, eli puhelimitse tehtävä tietojenkalastelu
• varastetut käyttäjätunnukset
• OAuth-tunnisteiden väärinkäyttö
• pilvipalvelujen ja SaaS-alustojen hyväksikäyttö
• toimitusketjuihin ja ulkopuolisiin palveluntarjoajiin kohdistuvat hyökkäykset.

Tutkijat ovat lisäksi varoittaneet, että uhreja on joissakin tapauksissa kiristetty uudelleen maksun jälkeen. Tunnetuin esimerkki on PowerSchool-tapaus, jossa yksittäisiä koulupiirejä painostettiin uudelleen kuukausia alkuperäisen toimittajan jälkeen. Tämä tekee maksamisesta epävarman keinon kiristyksen lopettamiseksi.

FBI, Mandiant ja EclecticIQ ovat kuvanneet ShinyHuntersia taloudellisesti motivoituneeksi kiristysrikollisuuden verkostoksi, joka hyödyntää nopeasti kehittyvää sosiaalista manipulointia ja pilvipohjaisten SaaS-palvelujen heikkouksia.

Johtopäätös: kaksi eri asiaa on pidettävä erillään

EY:n asiakkaiden vero- ja taloustietoja koskeva tietomurto on dokumentoitu erillinen tapahtuma. ShinyHuntersin väite uudesta tai samaan tapaukseen liittyvästä murrosta on puolestaan edelleen todentamaton.

Ilman varastetun aineiston näytteitä, EY:n vahvistusta tai riippumatonta teknistä näyttöä ei ole perusteltua esittää, että ShinyHunters olisi varmasti ollut aiemman EY-murron takana. Väite on silti otettava vakavasti, sillä ryhmän aiempi toiminta osoittaa, että vuotosivustojen uhkavaatimukset voivat johtaa tietojen julkaisemiseen tai myyntiin.