ShinyHunters का EY हैक का दावा: क्या है सच और क्या है सिर्फ शोर? जानिए 2026 के इस बड़े साइबर हमले की पूरी कहानी

साइबर सुरक्षा विश्लेषक क्यों बरत रहे हैं सावधानी?

विशेषज्ञ ShinyHunters के इस दावे को लेकर संदेह के साथ देख रहे हैं, इसके कई कारण हैं:

• सबूतों की कमी. ग्रुप ने अपनी पोस्ट में कोई सैंपल डेटा, स्क्रीनशॉट या हैक होने का कोई अन्य प्रमाण नहीं दिया है। यह उनके सामान्य पैटर्न के बिल्कुल विपरीत है, जहां वे अपने दावों को पुख्ता करने के लिए सबूत जारी करते हैं।
• बैंडवैगनिंग की संभावना. हैकर्स एक सच्चे, पहले से खुलासा हो चुके डेटा लीक (जिसका जिक्र नीचे किया गया है) से जुड़कर अपनी ब्रांडिंग करने की कोशिश कर सकते हैं। यह एक जानी-मानी चाल है जिसमें ग्रुप जिम्मेदारी न होते हुए भी बदनामी हासिल करने के लिए बड़े हमलों का क्रेडिट ले लेते हैं।
• 'धमकी-से-जबरन वसूली' का पाइपलाइन. भले ही दावा झूठा हो, सिर्फ एक बड़े लक्ष्य का नाम लेने से उसकी प्रतिष्ठा को नुकसान पहुंच सकता है और ग्राहकों व साझेदारों में भ्रम पैदा हो सकता है।

EY का पहले का खुलासा: एक अलग थर्ड-पार्टी ब्रीच

इस दावे से पहले, EY ने पहले ही एक अलग, पुष्ट डेटा ब्रीच की जानकारी दे दी थी, जो एक थर्ड-पार्टी IT सर्विस मैनेजमेंट (ITSM) प्लेटफॉर्म में हुआ था। मुख्य बातें:

• यह सेंध 23 अप्रैल 2026 को पकड़ी गई थी। हैकर्स ने 28 मार्च से 12 अप्रैल 2026 के बीच — यानी पूरे 15 दिन — वेंडर के हेल्प-डेस्क सिस्टम तक पहुंच बनाई रखी।
• हमलावरों ने क्लाइंट के टैक्स और वित्तीय दस्तावेज़ डाउनलोड किए जिनमें सोशल सिक्योरिटी नंबर, ड्राइविंग लाइसेंस नंबर, बैंक अकाउंट डेटा और टैक्स फाइलिंग की जानकारी शामिल थी।
• EY ने जुलाई 2026 में कैलिफोर्निया, मेन और कम से कम दो अन्य राज्यों के नियामकों को औपचारिक सूचना दी।
• इस ब्रीच के लिए EY के खिलाफ कम से कम एक क्लास-एक्शन मुकदमा दायर किया गया है।

यह ध्यान रखना ज़रूरी है कि EY का पुष्ट किया गया थर्ड-पार्टी ब्रीच और ShinyHunters का दावा एक ही घटना नहीं हैं — पहला एक दस्तावेजी घटना है जिसे EY ने खुद स्वीकार किया; दूसरा एक अप्रमाणित दावा है जो इससे जुड़ा हो भी सकता है और नहीं भी।

2026 में ShinyHunters का जबरन वसूली का पैटर्न

ShinyHunters 2026 में सबसे प्रोलिफिक डेटा चोरी और जबरन वसूली करने वाले ग्रुपों में से एक रहा है, जो लगातार 'ब्रीच करो, डेटा निकालो, मांग करो और लीक या बेच दो' मॉडल पर काम करता है। 2026 के उल्लेखनीनीय अभियानों में शामिल हैं:

ग्रुप का हथियार है वॉइस फिशिंग (vishing), क्रेडेंशियल चोरी, OAuth टोकन का दुरुपयोग और सप्लाई-चेन सेंधमारी, न कि एन्क्रिप्शन पर आधारित रैनसमवेयर। विश्लेषकों का यह भी कहना है कि ShinyHunters ने भुगतान के बाद भी पीड़ितों को फिर से ब्लैकमेल किया है — खासकर PowerSchool मामले में — जिससे बातचीत करना एक जोखिम भरी रणनीति बन जाती है।

FBI, Mandiant और EclecticIQ ने ShinyHunters को एक वित्तीय रूप से प्रेरित, जबरन वसूली-एक-सेवा (extortion-as-a-service) समूह बताया है जो AI-सक्षम सोशल इंजीनियरिंग और SaaS प्लेटफॉर्म शोषण के जरिए तेज़ी से फैल रहा है।