ShinyHunters का EY हैक का दावा: क्या है सच और क्या है सिर्फ शोर? जानिए 2026 के इस बड़े साइबर हमले की पूरी कहानी

27 जुलाई 2026 को डेटा चोरी और ब्लैकमेल के लिए कुख्यात ग्रुप ShinyHunters ने अपनी डार्क वेब साइट पर दावा किया कि उसने दुनिया की सबसे बड़ी प्रोफेश्नल सर्विस फर्म Ernst & Young (EY) को हैक कर लिया है। ग्रुप का कहना है कि उसने EY के कर्मचारियों के लॉगिन क्रेडेंशियल्स और संवेदनशील फाइलें EY द्वारा इस्तेमाल किए जाने वाले एक थर्ड-पार्टी IT सपोर्ट प्लेटफॉर्म में सेंध लगाकर हासिल की हैं। ShinyHunters ने EY को 31 जुलाई 2026 तक का 'अंतिम चेतावनी' डेडलाइन दी है, जिसके बाद वह सारा चुराया हुआ डेटा लीक कर देगा या सबसे ज्यादा बोली लगाने वाले को बेच देगा।

साइबर सुरक्षा विश्लेषक क्यों बरत रहे हैं सावधानी?

विशेषज्ञ ShinyHunters के इस दावे को लेकर संदेह के साथ देख रहे हैं, इसके कई कारण हैं:

• सबूतों की कमी. ग्रुप ने अपनी पोस्ट में कोई सैंपल डेटा, स्क्रीनशॉट या हैक होने का कोई अन्य प्रमाण नहीं दिया है। यह उनके सामान्य पैटर्न के बिल्कुल विपरीत है, जहां वे अपने दावों को पुख्ता करने के लिए सबूत जारी करते हैं।
• बैंडवैगनिंग की संभावना. हैकर्स एक सच्चे, पहले से खुलासा हो चुके डेटा लीक (जिसका जिक्र नीचे किया गया है) से जुड़कर अपनी ब्रांडिंग करने की कोशिश कर सकते हैं। यह एक जानी-मानी चाल है जिसमें ग्रुप जिम्मेदारी न होते हुए भी बदनामी हासिल करने के लिए बड़े हमलों का क्रेडिट ले लेते हैं।
• 'धमकी-से-जबरन वसूली' का पाइपलाइन. भले ही दावा झूठा हो, सिर्फ एक बड़े लक्ष्य का नाम लेने से उसकी प्रतिष्ठा को नुकसान पहुंच सकता है और ग्राहकों व साझेदारों में भ्रम पैदा हो सकता है।

EY का पहले का खुलासा: एक अलग थर्ड-पार्टी ब्रीच

इस दावे से पहले, EY ने पहले ही एक अलग, पुष्ट डेटा ब्रीच की जानकारी दे दी थी, जो एक थर्ड-पार्टी IT सर्विस मैनेजमेंट (ITSM) प्लेटफॉर्म में हुआ था। मुख्य बातें:

• यह सेंध 23 अप्रैल 2026 को पकड़ी गई थी। हैकर्स ने 28 मार्च से 12 अप्रैल 2026 के बीच — यानी पूरे 15 दिन — वेंडर के हेल्प-डेस्क सिस्टम तक पहुंच बनाई रखी।
• हमलावरों ने क्लाइंट के टैक्स और वित्तीय दस्तावेज़ डाउनलोड किए जिनमें सोशल सिक्योरिटी नंबर, ड्राइविंग लाइसेंस नंबर, बैंक अकाउंट डेटा और टैक्स फाइलिंग की जानकारी शामिल थी।
• EY ने जुलाई 2026 में कैलिफोर्निया, मेन और कम से कम दो अन्य राज्यों के नियामकों को औपचारिक सूचना दी।
• इस ब्रीच के लिए EY के खिलाफ कम से कम एक क्लास-एक्शन मुकदमा दायर किया गया है।

यह ध्यान रखना ज़रूरी है कि EY का पुष्ट किया गया थर्ड-पार्टी ब्रीच और ShinyHunters का दावा एक ही घटना नहीं हैं — पहला एक दस्तावेजी घटना है जिसे EY ने खुद स्वीकार किया; दूसरा एक अप्रमाणित दावा है जो इससे जुड़ा हो भी सकता है और नहीं भी।

2026 में ShinyHunters का जबरन वसूली का पैटर्न

ShinyHunters 2026 में सबसे प्रोलिफिक डेटा चोरी और जबरन वसूली करने वाले ग्रुपों में से एक रहा है, जो लगातार 'ब्रीच करो, डेटा निकालो, मांग करो और लीक या बेच दो' मॉडल पर काम करता है। 2026 के उल्लेखनीनीय अभियानों में शामिल हैं:

लक्ष्य	महीना	जानकारी
Salesforce Experience Cloud	मार्च 2026	Qantas, Allianz Life, LVMH, Adidas, Google, Workday समेत 100+ संगठनों को निशाना बनाया
Instructure Canvas LMS	मई 2026	10 दिनों में दो बार सेंध; ~3.6 TB डेटा (275 मिलियन+ छात्र रिकॉर्ड) चुराए। FBI जारी किया एडवाइजरी
यूरोप परिषद (Council of Europe)	जून 2026	297 GB (4,29,000+ फाइलें) डेटा चुराने का दावा; 16 जून तक की डेडलाइन
Kodak	जून 2026	2.2 मिलियन ग्राहकों का PII डेटा चुराने का दावा; 18 जून को डेडलाइन; कोडक ने बाद में ब्रीच की पुष्टि की
Abbott Laboratories	जुलाई 2026	18 जुलाई की डेडलाइन, बाद में बढ़ाकर 21 जुलाई की
Ernst & Young	जुलाई 2026	सप्लाई-चेन ब्रीच का दावा; 31 जुलाई की डेडलाइन (अप्रमाणित)

ग्रुप का हथियार है वॉइस फिशिंग (vishing), क्रेडेंशियल चोरी, OAuth टोकन का दुरुपयोग और सप्लाई-चेन सेंधमारी, न कि एन्क्रिप्शन पर आधारित रैनसमवेयर। विश्लेषकों का यह भी कहना है कि ShinyHunters ने भुगतान के बाद भी पीड़ितों को फिर से ब्लैकमेल किया है — खासकर PowerSchool मामले में — जिससे बातचीत करना एक जोखिम भरी रणनीति बन जाती है।

FBI, Mandiant और EclecticIQ ने ShinyHunters को एक वित्तीय रूप से प्रेरित, जबरन वसूली-एक-सेवा (extortion-as-a-service) समूह बताया है जो AI-सक्षम सोशल इंजीनियरिंग और SaaS प्लेटफॉर्म शोषण के जरिए तेज़ी से फैल रहा है।