ShinyHunters hevder å ha hacket EY: Dette vet vi – og dette er fortsatt uklart

Påstanden er ikke bekreftet

Det viktigste skillet er dette: ShinyHunters’ nye påstand er ikke det samme som det datainnbruddet EY allerede har offentliggjort.

Sikkerhetsanalytikere anbefaler å være forsiktige av flere grunner:

• Ingen synlige bevis: Innlegget inneholdt ingen prøvedata, skjermbilder eller andre konkrete tegn på at gruppen faktisk hadde tilgang. Det skiller seg fra ShinyHunters’ vanlige fremgangsmåte, der gruppen ofte publiserer utdrag for å underbygge kravene sine.
• Mulig forsøk på å ta æren: Gruppen kan forsøke å knytte ShinyHunters-navnet til et reelt datainnbrudd som allerede er kjent, uten nødvendigvis å ha stått bak det. Sikkerhetsmiljøer kjenner igjen dette som en taktikk der utpressere overdriver eller feilaktig hevder ansvar for å bygge frykt og oppmerksomhet.
• Selve trusselen skaper skade: Selv en udokumentert påstand kan skape usikkerhet blant kunder, samarbeidspartnere og ansatte – og presse virksomheten til å bruke tid og ressurser på å avklare situasjonen.

Per tidspunktet for omtalen hadde EY ikke bekreftet ShinyHunters’ konkrete påstand offentlig, og det var ikke publisert stjålne data som kunne verifisere den.

EY hadde allerede meldt om et annet datainnbrudd

Før ShinyHunters publiserte påstanden, hadde EY informert om et separat og bekreftet datainnbrudd. Dette gjaldt en tredjeparts plattform for IT-tjenestestyring – i praksis et system for interne supportsaker og henvendelser.

De offentlig kjente opplysningene er:

• EY oppdaget innbruddet 23. april 2026.
• En uvedkommende hadde hatt tilgang til den leverandørstyrte supportplattformen fra 28. mars til 12. april 2026, en periode på 15 dager.
• Angriperne lastet ned dokumenter som inneholdt skatte- og finansopplysninger om klienter, blant annet amerikanske personnumre (Social Security-numre), førerkortnumre, kontoinformasjon og opplysninger fra skattemeldinger.
• EY sendte formelle meldinger til tilsynsmyndigheter i California, Maine og minst to andre delstater i USA i juli 2026.
• Minst ett gruppesøksmål er meldt mot EY i forbindelse med innbruddet.

Det bekreftede innbruddet viser samtidig en konkret risiko ved tredjepartssystemer: Dokumenter som legges ved supportsaker, kan inneholde svært sensitive opplysninger – selv om selve systemet ikke er laget for skattebehandling.

Det finnes foreløpig ikke grunnlag for å slå fast at ShinyHunters sto bak dette innbruddet. EY-hendelsen er dokumentert gjennom selskapets varsler og regulatoriske meldinger, mens den nye ShinyHunters-påstanden fortsatt er ubekreftet.

Et gjenkjennelig utpressingsmønster i 2026

ShinyHunters har vært blant de mest aktive aktørene innen datatyveri og digital utpressing i 2026. Modellen er i hovedsak: skaff tilgang, hent ut data, krev betaling, og publiser eller selg materialet dersom offeret ikke betaler.

Noen av årets viktigste kampanjer og påstander inkluderer:

Ikke klassisk løsepengevirus

ShinyHunters’ metode skiller seg fra tradisjonelle løsepengevirus. Gruppen er først og fremst opptatt av å stjele data og true med publisering, ikke av å kryptere hele datasystemer slik at virksomheten mister tilgangen til dem.

Analytikere peker særlig på:

• telefonsvindel, også kalt vishing, der angripere utgir seg for å være supportpersonell eller kolleger
• tyveri av brukernavn, passord og andre påloggingsopplysninger
• misbruk av OAuth-tokens, som kan gi tilgang til skytjenester
• angrep via leverandører og andre deler av virksomhetens digitale forsyningskjede

Google/Mandiant, FBI og EclecticIQ har beskrevet ShinyHunters som et økonomisk motivert, løst organisert miljø for digital utpressing. Aktiviteten har blant annet blitt koblet til AI-støttet sosial manipulering og misbruk av SaaS-plattformer – altså nettbasert programvare som virksomheter bruker som tjenester.

Det finnes også eksempler på at ofre skal ha blitt utsatt for nye utpressingskrav etter betaling, blant annet i PowerSchool-saken. Det gjør en eventuell forhandling til en risikofylt strategi, selv når trusselen ser konkret ut.

Kort oppsummert

Det som er bekreftet, er at EY har vært rammet av et datainnbrudd via en tredjeparts IT-supportplattform, og at klientrelaterte skatte- og finansopplysninger kan ha blitt lastet ned. Det som ikke er bekreftet, er at ShinyHunters sto bak dette innbruddet eller at gruppen har fått tilgang til ytterligere EY-data.

31. juli var gruppens egen frist – ikke en uavhengig bekreftelse på at en lekkasje ville finne sted.