Waarom cybersecurity-analisten voorzichtigheid adviseren

Specialisten reageren sceptisch op de claim. Daar zijn meerdere redenen voor:

• Geen bewijs. Het bericht op het lekforum bevatte geen voorbeelden van gestolen data, geen screenshots en geen andere harde bewijzen. Dat is opvallend, want ShinyHunters laat normaal gesproken wél voorbeeldbestanden zien om claims kracht bij te zetten.
• Mogelijk 'meeliften'. De groep probeert mogelijk haar naam te verbinden aan een echte, al bekende datadiefstal (zie onder) waar ze niets mee te maken heeft. Dit is een bekend trucje van afpersers om aanzien te krijgen.
• Schade door alleen al de naam. Zelfs als de claim niet klopt, kan alleen al het noemen van een groot bedrijf als EY voor reputatieschade en onrust onder klanten en partners zorgen.

Het bevestigde datalek bij EY: een ander incident

Voordat ShinyHunters met de claim kwam, had EY al een apart, bevestigd datalek gemeld. Dat lek betrof een IT-serviceplatform van een externe leverancier dat werd gebruikt voor interne supporttickets. De belangrijkste punten:

• De hack werd ontdekt op 23 april 2026. De aanvallers hadden tussen 28 maart en 12 april 2026 toegang tot het systeem van de leverancier — een periode van 15 dagen.
• De indringers downloadden documenten met belasting- en financiële gegevens van klanten, waaronder burgerservicenummers (BSN), rijbewijsnummers, financiële rekeninggegevens en belastingaangiften.
• EY diende in juli 2026 officiële meldingen in bij toezichthouders in Californië, Maine en ten minste twee andere Amerikaanse staten.
• Er is inmiddels ten minste één class-action-rechtszaak tegen EY aangespannen vanwege dit lek.

Het bevestigde lek en de nieuwe claim van ShinyHunters zijn niet hetzelfde incident. Het ene is een gedocumenteerde gebeurtenis die EY zelf heeft gemeld; het andere is een onbewezen bewering die er wel of niet mee te maken kan hebben.

ShinyHunters' afpersingspatroon in 2026

ShinyHunters is in 2026 uitgegroeid tot een van de meest actieve groepen op het gebied van datadiefstal en afpersing. Ze werken volgens een vast stramien: binnenbreken, data stelen, betaling eisen en anders publiceren of verkopen. Enkele prominente campagnes in 2026:

De groep maakt gebruik van vishing (phishing via de telefoon), diefstal van inloggegevens, misbruik van OAuth-tokens en het compromitteren van toeleveranciers — niet van gijzelsoftware die bestanden versleutelt. Daarnaast staat ShinyHunters erom bekend dat ze slachtoffers ook na betaling opnieuw afpersen, zoals bleek bij de PowerSchool-zaak. Onderhandelen is dus een riskante strategie.

De FBI, Mandiant en EclecticIQ hebben allemaal adviezen uitgebracht waarin ShinyHunters wordt getypeerd als een financieel gemotiveerd, 'extortion-as-a-service'-collectief dat razendsnel is gegroeid door AI-gestuurde sociale manipulatietechnieken en het binnendringen van SaaS-platforms.

Waarom cybersecurity-analisten voorzichtigheid adviseren

Specialisten reageren sceptisch op de claim. Daar zijn meerdere redenen voor:

• Geen bewijs. Het bericht op het lekforum bevatte geen voorbeelden van gestolen data, geen screenshots en geen andere harde bewijzen. Dat is opvallend, want ShinyHunters laat normaal gesproken wél voorbeeldbestanden zien om claims kracht bij te zetten.
• Mogelijk 'meeliften'. De groep probeert mogelijk haar naam te verbinden aan een echte, al bekende datadiefstal (zie onder) waar ze niets mee te maken heeft. Dit is een bekend trucje van afpersers om aanzien te krijgen.
• Schade door alleen al de naam. Zelfs als de claim niet klopt, kan alleen al het noemen van een groot bedrijf als EY voor reputatieschade en onrust onder klanten en partners zorgen.

Het bevestigde datalek bij EY: een ander incident

Voordat ShinyHunters met de claim kwam, had EY al een apart, bevestigd datalek gemeld. Dat lek betrof een IT-serviceplatform van een externe leverancier dat werd gebruikt voor interne supporttickets. De belangrijkste punten:

• De hack werd ontdekt op 23 april 2026. De aanvallers hadden tussen 28 maart en 12 april 2026 toegang tot het systeem van de leverancier — een periode van 15 dagen.
• De indringers downloadden documenten met belasting- en financiële gegevens van klanten, waaronder burgerservicenummers (BSN), rijbewijsnummers, financiële rekeninggegevens en belastingaangiften.
• EY diende in juli 2026 officiële meldingen in bij toezichthouders in Californië, Maine en ten minste twee andere Amerikaanse staten.
• Er is inmiddels ten minste één class-action-rechtszaak tegen EY aangespannen vanwege dit lek.

Het bevestigde lek en de nieuwe claim van ShinyHunters zijn niet hetzelfde incident. Het ene is een gedocumenteerde gebeurtenis die EY zelf heeft gemeld; het andere is een onbewezen bewering die er wel of niet mee te maken kan hebben.

ShinyHunters' afpersingspatroon in 2026

ShinyHunters is in 2026 uitgegroeid tot een van de meest actieve groepen op het gebied van datadiefstal en afpersing. Ze werken volgens een vast stramien: binnenbreken, data stelen, betaling eisen en anders publiceren of verkopen. Enkele prominente campagnes in 2026:

De groep maakt gebruik van vishing (phishing via de telefoon), diefstal van inloggegevens, misbruik van OAuth-tokens en het compromitteren van toeleveranciers — niet van gijzelsoftware die bestanden versleutelt. Daarnaast staat ShinyHunters erom bekend dat ze slachtoffers ook na betaling opnieuw afpersen, zoals bleek bij de PowerSchool-zaak. Onderhandelen is dus een riskante strategie.

De FBI, Mandiant en EclecticIQ hebben allemaal adviezen uitgebracht waarin ShinyHunters wordt getypeerd als een financieel gemotiveerd, 'extortion-as-a-service'-collectief dat razendsnel is gegroeid door AI-gestuurde sociale manipulatietechnieken en het binnendringen van SaaS-platforms.