ShinyHunters revendique une fuite chez Ernst & Young : entre mythe et réalité dans l'extorsion de juillet 2026

Le 27 juillet 2026, le groupe d'extorsion de données ShinyHunters a publié sur son site sur le dark web une revendication affirmant avoir piraté Ernst & Young (EY), l'un des plus grands cabinets de services professionnels au monde. Le groupe a déclaré avoir obtenu des identifiants d'employés et des fichiers sensibles via une compromission de la chaîne d'approvisionnement d'une plateforme de support IT tierce utilisée par EY. ShinyHunters a fixé un ultimatum dit « dernier avertissement » au 31 juillet 2026, menaçant de publier toutes les données et fichiers volés si EY ne négociait pas avant cette date. L'avis sur le site de fuite, mis à jour le 27 juillet, indiquait : « Ceci est un dernier avertissement pour nous contacter avant le 31 juillet 2026, sinon nous divulguerons et vendrons les données au plus offrant. »

Pourquoi les analystes en cybersécurité appellent à la prudence

Les analystes traitent cette revendication avec scepticisme pour plusieurs raisons :

• Absence de preuves. Le message sur le site de fuite était remarquable par l'absence totale d'échantillons de données, de captures d'écran ou d'autres preuves de la compromission – une rupture avec la méthode habituelle de ShinyHunters, qui publie généralement des échantillons pour étayer ses affirmations.
• Récupération de crédit potentielle. Le groupe pourrait opportunément associer sa marque à une fuite réelle et déjà divulguée (voir ci-dessous) à laquelle il n'a pas participé. C'est un schéma connu où des groupes d'extorsion revendiquent faussement des incidents pour gagner en notoriété.
• Le pipeline « menace vers extorsion ». Même si la revendication est fausse, le simple fait de nommer une cible de grande valeur peut nuire à la réputation et semer la confusion chez les clients et les partenaires.

La divulgation préalable d'EY concernant une fuite tierce distincte

Avant la revendication de ShinyHunters, EY avait déjà divulgué une fuite de données distincte et confirmée impliquant une plateforme de gestion de services IT (ITSM) tierce utilisée pour les tickets de support internes. Détails clés :

• La compromission a été détectée le 23 avril 2026. Les attaquants avaient accédé au système de helpdesk géré par le fournisseur entre le 28 mars et le 12 avril 2026 – une fenêtre de 15 jours.
• Les intrus ont téléchargé des documents contenant des informations fiscales et financières de clients, y compris des numéros de sécurité sociale, des numéros de permis de conduire, des données de comptes financiers et des informations de déclaration de revenus.
• EY a déposé des notifications officielles auprès des régulateurs en Californie, dans le Maine et dans au moins deux autres États en juillet 2026.
• Au moins une action collective a été intentée contre EY suite à cette fuite.

La fuite tierce confirmée et la revendication de ShinyHunters ne sont pas le même incident – la première est un événement documenté qu'EY a divulgué ; la seconde est une affirmation non étayée qui peut ou non être liée.

Le modèle d'extorsion de ShinyHunters tout au long de l'année 2026

ShinyHunters a été l'un des groupes de vol de données et d'extorsion les plus prolifiques de 2026, opérant selon un modèle cohérent « intrusion, exfiltration, demande, publication ou vente ». Les campagnes majeures de 2026 incluent :

Cible	Mois	Détails
Victimes de Salesforce Experience Cloud	Mars 2026	Exploitation de points de terminaison Aura mal configurés, touchant des centaines d'organisations, dont Qantas, Allianz Life, LVMH, Adidas, Google, Workday
Instructure Canvas LMS	Mai 2026	Piraté deux fois en 10 jours via XSS dans les comptes Free-for-Teacher ; exfiltration d'environ 3,6 To de données affectant plus de 275 millions d'enregistrements d'étudiants. Le FBI a émis un avis public.
Conseil de l'Europe	Juin 2026	Revendication du vol de 297 Go (plus de 429 000 fichiers) de données RH et opérationnelles ; menace de publication d'ici le 16 juin
Kodak	Juin 2026	Revendication de 2,2 millions d'enregistrements de PII clients ; ultimatum de fuite au 18 juin ; Kodak a ensuite confirmé la fuite
Abbott Laboratories	Juillet 2026	Publication d'Abbott sur son site de fuite avec un ultimatum au 18 juillet, reporté ensuite au 21 juillet
Ernst & Young	Juillet 2026	Revendication d'une compromission de la chaîne d'approvisionnement ; ultimatum au 31 juillet (non étayé à ce jour)

Les méthodes du groupe reposent sur l'ingénierie sociale vocale (vishing), le vol d'identifiants, l'abus de jetons OAuth et la compromission de la chaîne d'approvisionnement, plutôt que sur des ransomwares basés sur le chiffrement. Les analystes notent également que ShinyHunters a ré-extorqué des victimes après paiement – notamment dans l'affaire PowerSchool – faisant de la négociation une stratégie risquée.

Le FBI, Mandiant et EclecticIQ ont tous émis des avis de suivi de ShinyHunters en tant que collectif d'extorsion en tant que service, motivé financièrement, qui s'est rapidement développé grâce à l'ingénierie sociale assistée par l'IA et à l'exploitation de plateformes SaaS.