ShinyHunters rivendica un attacco a Ernst & Young: tra verità e bluff nell'estorsione di luglio 2026

Perché gli analisti di cybersecurity invitano alla prudenza

Gli esperti trattano la rivendicazione con scetticismo per diversi motivi:

• Mancanza di prove a supporto. Il post sul sito delle fughe si è distinto per l'assenza di dati campione, screenshot o altre prove del compromesso — una deviazione dal tipico modus operandi di ShinyHunters, che di solito pubblica campioni per avvalorare le proprie affermazioni.
• Possibile 'cavalcata' di un caso già noto. Il gruppo potrebbe stare opportunisticamente associando il proprio marchio a una violazione reale e già resa nota (vedi sotto) alla quale non ha preso parte. È uno schema noto: gruppi di estorsione si attribuiscono falsamente incidenti per aumentare la propria notorietà.
• La pipeline 'minaccia-estorsione'. Anche se la rivendicazione fosse falsa, semplicemente nominare un bersaglio di alto profilo come EY può danneggiare la reputazione e creare confusione tra clienti e partner.

La violazione precedente e separata di EY (fornitore terzo)

Prima della rivendicazione di ShinyHunters, EY aveva già reso nota una violazione dei dati separata e confermata che coinvolgeva una piattaforma di gestione dei servizi IT (ITSM) di terze parti utilizzata per i ticket di supporto interno. Dettagli chiave:

• Il compromesso è stato rilevato il 23 aprile 2026. Gli aggressori avevano avuto accesso al sistema di help desk gestito dal fornitore tra il 28 marzo e il 12 aprile 2026 — una finestra di 15 giorni.
• Gli intrusi hanno scaricato documenti contenenti informazioni fiscali e finanziarie dei clienti, tra cui codici fiscali (Social Security Numbers), numeri di patente di guida, dati di conti finanziari e dichiarazioni dei redditi.
• EY ha presentato notifiche formali alle autorità di regolamentazione in California, Maine e almeno altri due stati nel luglio 2026.
• È stata intentata almeno una causa collettiva (class action) contro EY per questa violazione.

La violazione confermata del fornitore terzo e la rivendicazione di ShinyHunters non sono lo stesso incidente: la prima è un evento documentato e divulgato da EY; la seconda è una rivendicazione non comprovata che potrebbe o meno essere collegata.

Il modus operandi di ShinyHunters nel corso del 2026

ShinyHunters si è affermato come uno dei gruppi di furto dati ed estorsione più prolifici del 2026, operando con un modello coerente 'viola, esfiltra, chiedi il riscatto e pubblica o vendi'. Le campagne principali del 2026 includono:

Il metodo del gruppo si basa su voice phishing (vishing), furto di credenziali, abuso di token OAuth e compromissione della catena di fornitura, anziché su ransomware basato su crittografia. Gli analisti notano inoltre che ShinyHunters ha ripetutamente estorto nuovamente le vittime dopo il pagamento — in particolare nel caso PowerSchool — rendendo la negoziazione una strategia rischiosa.

FBI, Mandiant ed EclecticIQ hanno tutti emesso avvisi classificando ShinyHunters come un collettivo di estorsione come servizio (extortion-as-a-service) finanziariamente motivato, che si è espanso rapidamente attraverso l'ingegneria sociale basata sull'intelligenza artificiale e lo sfruttamento di piattaforme SaaS.