ShinyHuntersがEYを侵害したと主張：7月31日期限の身代金要求、専門家は懐疑的

なぜサイバーセキュリティ専門家は注意を促すのか

アナリストは、以下の理由からこの主張に懐疑的な見方を示しています：

• 裏付けとなる証拠の欠如。 リークサイトへの投稿には、侵害を裏付けるサンプルデータやスクリーンショットなどが一切含まれておらず、ShinyHuntersが通常、主張を裏付けるためにサンプルを公開する行動パターンから逸脱しています。
• 便乗の可能性。 グループが、自ら関与していない実際に発生し既に開示された侵害（後述）に、日和見的に自らの名前を結びつけようとしている可能性があります。これは、不正なグループが名声を高めるためにインシデントの犯行を偽って主張する既知のパターンです。
• 「脅迫から身代金へのパイプライン」。 たとえ主張が虚偽であっても、価値の高いターゲットの名前を出すだけで、評判を傷つけ、顧客やパートナーの間に混乱を引き起こす可能性があります。

EYが以前に開示した別の第三者侵害

ShinyHuntersの主張に先立ち、EYは社内のサポートチケットに使用する第三者のITサービス管理（ITSM）プラットフォームに関する別の、確認されたデータ侵害を既に開示していました。主な詳細は以下の通りです：

• この侵害は2026年4月23日に検知されました。攻撃者は、2026年3月28日から4月12日までの15日間、ベンダーが管理するヘルプデスクシステムにアクセスしていました。
• 侵入者は、クライアントの税金および財務情報を含む書類をダウンロードしました。これには、社会保障番号、運転免許証番号、金融口座データ、納税申告情報が含まれます。
• EYは2026年7月、カリフォルニア州、メイン州、および少なくとも他の2州の規制当局に正式な通知を提出しました。
• この侵害に関し、EYに対して少なくとも1件の集団訴訟が提起されています。

確認された第三者侵害とShinyHuntersの主張は同じインシデントではありません。前者はEYが開示した文書化された出来事であり、後者は根拠がなく、関連があるかどうかも不明な主張です。

2026年を通じたShinyHuntersの恐喝パターン

ShinyHuntersは2026年、最も活発なデータ窃取・恐喝グループの一つであり、一貫した 「侵害、データ奪取、要求、公開または売却」 というモデルで活動しています。2026年の主なキャンペーンは以下の通りです：

グループの手口は、暗号化を用いるランサムウェアではなく、ボイスフィッシング（vishing）、認証情報の窃取、OAuthトークンの悪用、サプライチェーン侵害に依存しています。また、アナリストはShinyHuntersが、支払い後に被害者を再度恐喝した事例（特にPowerSchool事件）があることを指摘しており、交渉はリスクの高い戦略であるとしています。

FBI、Mandiant、EclecticIQはすべて、ShinyHuntersを金銭目的の「恐喝-as-a-service」集団として追跡する勧告を発表しており、AIを活用したソーシャルエンジニアリングやSaaSプラットフォームの悪用を通じて急速に活動を拡大していると警告しています。