ShinyHuntersがEYを侵害したと主張：7月31日期限の身代金要求、専門家は懐疑的

2026年7月27日、悪名高いデータ窃取集団ShinyHuntersがダークウェブ上のリークサイトに、世界有数のプロフェッショナルサービス企業であるアーンスト・アンド・ヤング（EY）を侵害したとする主張を掲載しました。グループは、EYが利用する第三者のITサポートプラットフォームのサプライチェーンを侵害し、従業員の認証情報と機密ファイルを入手したと主張しています。ShinyHuntersは2026年7月31日を「最終警告」の期限とし、EYがそれまでに交渉に応じなければ、盗んだすべてのデータとファイルを公開すると脅迫しています。リークサイトの通知（7月27日更新）には、次のように記されています：「これは最終警告です。2026年7月31日までに連絡を頂かない場合、データを漏洩し、最高入札者に売却します。」

なぜサイバーセキュリティ専門家は注意を促すのか

アナリストは、以下の理由からこの主張に懐疑的な見方を示しています：

• 裏付けとなる証拠の欠如。 リークサイトへの投稿には、侵害を裏付けるサンプルデータやスクリーンショットなどが一切含まれておらず、ShinyHuntersが通常、主張を裏付けるためにサンプルを公開する行動パターンから逸脱しています。
• 便乗の可能性。 グループが、自ら関与していない実際に発生し既に開示された侵害（後述）に、日和見的に自らの名前を結びつけようとしている可能性があります。これは、不正なグループが名声を高めるためにインシデントの犯行を偽って主張する既知のパターンです。
• 「脅迫から身代金へのパイプライン」。 たとえ主張が虚偽であっても、価値の高いターゲットの名前を出すだけで、評判を傷つけ、顧客やパートナーの間に混乱を引き起こす可能性があります。

EYが以前に開示した別の第三者侵害

ShinyHuntersの主張に先立ち、EYは社内のサポートチケットに使用する第三者のITサービス管理（ITSM）プラットフォームに関する別の、確認されたデータ侵害を既に開示していました。主な詳細は以下の通りです：

• この侵害は2026年4月23日に検知されました。攻撃者は、2026年3月28日から4月12日までの15日間、ベンダーが管理するヘルプデスクシステムにアクセスしていました。
• 侵入者は、クライアントの税金および財務情報を含む書類をダウンロードしました。これには、社会保障番号、運転免許証番号、金融口座データ、納税申告情報が含まれます。
• EYは2026年7月、カリフォルニア州、メイン州、および少なくとも他の2州の規制当局に正式な通知を提出しました。
• この侵害に関し、EYに対して少なくとも1件の集団訴訟が提起されています。

確認された第三者侵害とShinyHuntersの主張は同じインシデントではありません。前者はEYが開示した文書化された出来事であり、後者は根拠がなく、関連があるかどうかも不明な主張です。

2026年を通じたShinyHuntersの恐喝パターン

ShinyHuntersは2026年、最も活発なデータ窃取・恐喝グループの一つであり、一貫した 「侵害、データ奪取、要求、公開または売却」 というモデルで活動しています。2026年の主なキャンペーンは以下の通りです：

標的	月	詳細
Salesforce Experience Cloudの被害企業	2026年3月	誤設定されたAuraエンドポイントを悪用し、カンタス航空、アリアンツ生命、LVMH、アディダス、Google、Workdayなど数百の組織を攻撃
Instructure Canvas LMS	2026年5月	Free-for-TeacherアカウントのXSS脆弱性を利用し10日間で2回侵入。約3.6TBのデータを奪取し、2億7500万件以上の学生記録に影響。FBIがPSAを発行
欧州評議会	2026年6月	人事・業務データ297GB（42万9000ファイル以上）の窃取を主張、6月16日までの公開を脅迫
Kodak	2026年6月	220万件の顧客個人情報の窃取を主張、6月18日のリーク期限を設定。後にKodakが侵害を確認
Abbott Laboratories	2026年7月	リークサイトにAbbottを掲載、7月18日期限を後に7月21日に延期
アーンスト・アンド・ヤング (EY)	2026年7月	サプライチェーン侵害を主張、期限は7月31日（現時点では未確認）

グループの手口は、暗号化を用いるランサムウェアではなく、ボイスフィッシング（vishing）、認証情報の窃取、OAuthトークンの悪用、サプライチェーン侵害に依存しています。また、アナリストはShinyHuntersが、支払い後に被害者を再度恐喝した事例（特にPowerSchool事件）があることを指摘しており、交渉はリスクの高い戦略であるとしています。

FBI、Mandiant、EclecticIQはすべて、ShinyHuntersを金銭目的の「恐喝-as-a-service」集団として追跡する勧告を発表しており、AIを活用したソーシャルエンジニアリングやSaaSプラットフォームの悪用を通じて急速に活動を拡大していると警告しています。