ShinyHunters טוענים שפרצו ל-Ernst & Young — אבל מומחי הסייבר מזהירים לא למהר להסיק מסקנות

מדוע מומלץ להתייחס לטענה בספקנות?

עצם הופעת שמה של חברה גדולה באתר הדלפות אינה הוכחה לכך שהפריצה אכן התרחשה — ובמקרה הזה יש כמה סיבות להמתין לאימות עצמאי:

• אין ראיות תומכות: ההודעה לא כללה דוגמאות לקבצים, צילומי מסך או מידע אחר שיכול להוכיח גישה למערכות. היעדר כזה בולט במיוחד משום שבמקרים אחרים המיוחסים ל-ShinyHunters פורסמו דוגמאות שנועדו לבסס את הטענות.
• ייתכן שמדובר ברכיבה על אירוע קיים: הקבוצה עלולה לנסות לייחס לעצמה פריצה אמיתית שכבר נחשפה, אף שלא הייתה מעורבת בה. ייחוס כוזב של אירועי סייבר הוא דרך מוכרת של קבוצות סחיטה להגדיל את החשיפה ואת המוניטין שלהן.
• גם טענה לא מאומתת יוצרת נזק: איום פומבי נגד יעד בעל ערך עלול לבלבל לקוחות ושותפים, לפגוע במוניטין ולהפעיל לחץ על החברה — אפילו אם בסופו של דבר לא תפורסם דליפה.

נכון למועד פרסום הטענה, EY לא אישרה את טענות ShinyHunters הספציפיות, ולא פורסם מידע גנוב שמאמת אותן.

הפריצה שכבר נחשפה ב-EY היא אירוע נפרד

עוד לפני הודעת ShinyHunters, EY חשפה אירוע דליפה מאומת ונפרד. מדובר בפגיעה בפלטפורמת ניהול שירותי IT ‏(ITSM) של ספק חיצוני, ששימשה את החברה לניהול קריאות תמיכה פנימיות.

לפי הפרטים שנמסרו:

• הפעילות החריגה אותרה ב-23 באפריל 2026. גורם לא מורשה ניגש למערכת בין 28 במרץ ל-12 באפריל — חלון חשיפה של 15 ימים.
• התוקפים הורידו מסמכים שהכילו מידע מס ונתונים פיננסיים של לקוחות, ובהם מספרי Social Security, מספרי רישיון נהיגה, פרטי חשבונות פיננסיים ומידע מדוחות מס.
• במהלך יולי הגישה EY הודעות רשמיות לרשויות בקליפורניה, במיין ולפחות בשתי מדינות נוספות.
• לפחות תביעה ייצוגית אחת הוגשה נגד EY בעקבות האירוע.

הנקודה החשובה היא שהפריצה שאושרה והטענה החדשה של ShinyHunters אינן אותו אירוע. הפריצה הראשונה היא אירוע מתועד ש-EY חשפה; הטענה השנייה עדיין אינה מבוססת בראיות פומביות, וייתכן שהיא קשורה לאירוע הקודם — אך אין לכך אישור.

דפוס הפעולה של ShinyHunters ב-2026

ShinyHunters נחשבת לאחת מקבוצות גניבת המידע והסחיטה הפעילות ביותר ב-2026. המודל שלה מתואר לרוב כך: חדירה, הוצאת מידע, דרישת תשלום, ואז פרסום או מכירה של המידע.

בין הקמפיינים והטענות המרכזיים שיוחסו לה השנה:

לא מדובר בכנופיית כופרה קלאסית

בניגוד למתקפות כופרה שמצפינות מערכות ומשביתות אותן, הפעילות שמיוחסת ל-ShinyHunters מתמקדת בעיקר בגניבת מידע וסחיטה. כלי הפעולה שחוזרים בדיווחים כוללים התחזות קולית (vishing), גניבת פרטי התחברות, שימוש לרעה באסימוני OAuth ופגיעה בספקי תוכנה או שירותים.

הקבוצה מנצלת לעיתים גישה לגיטימית לכאורה: פרטי התחברות, קודי אימות רב-שלבי או אסימונים של יישומי ענן יכולים לאפשר לתוקפים לפעול כאילו הם משתמשים או אפליקציות מורשים. לאחר הכניסה, הם מחפשים מידע רגיש במערכות SaaS ובסביבות ענן ומוציאים כמויות גדולות של נתונים.

חוקרי אבטחה גם מזהירים כי תשלום אינו מבטיח את סיום הסחיטה. לפי דיווחים, ShinyHunters חזרה ודרשה תשלום מנפגעים גם לאחר תשלום קודם — במיוחד בפרשת PowerSchool — ולכן משא ומתן עם הקבוצה אינו פתרון נטול סיכון.

ה-FBI, ‏Mandiant ו-EclecticIQ עוקבים אחר ShinyHunters כקולקטיב פשיעת סייבר בעל מניע כלכלי, שפועל במודל של סחיטה כשירות ומרחיב את פעילותו באמצעות הנדסה חברתית בסיוע בינה מלאכותית וניצול פלטפורמות SaaS.

השורה התחתונה: ל-EY אכן הייתה דליפת מידע דרך מערכת תמיכה של ספק חיצוני, אך אין בכך כשלעצמו הוכחה לכך ש-ShinyHunters אחראית לה. עד להצגת ראיות או לאישור מצד EY או גורם בלתי תלוי, יש להפריד בין האירוע המאומת לבין הטענה החדשה באתר ההדלפות.