ShinyHunters twierdzi, że zaatakowało Ernst & Young. Co wiadomo, a co pozostaje bez dowodów?

Najważniejsze rozróżnienie: twierdzenie grupy i potwierdzony incydent

Sama publikacja ShinyHunters nie jest dowodem, że grupa rzeczywiście przeprowadziła atak na EY. Analitycy zalecają ostrożność z kilku powodów:

• Brak próbek danych. Wpis nie zawierał zrzutów ekranu, przykładowych plików ani innych materiałów, które mogłyby potwierdzić włamanie. To istotne, ponieważ w innych sprawach przypisywanych ShinyHunters grupa publikowała próbki skradzionych informacji.
• Możliwe przypisywanie sobie cudzego ataku. ShinyHunters mogło próbować wykorzystać wcześniej ujawniony, rzeczywisty incydent EY, choć nie musiało mieć z nim nic wspólnego. Fałszywe przypisywanie sobie odpowiedzialności za nagłośnione włamania jest znanym sposobem budowania rozpoznawalności przez grupy szantażystów.
• Szkody powstają jeszcze przed wyciekiem. Samo wskazanie dużej firmy jako celu może wywołać zamieszanie wśród klientów i partnerów oraz zaszkodzić reputacji organizacji — nawet jeśli zarzut okaże się nieprawdziwy.

Na moment publikacji EY nie potwierdziło konkretnych zarzutów ShinyHunters, a w podziemiu nie pojawiły się skradzione dane.

Co EY wcześniej ujawniło?

Jeszcze przed komunikatem ShinyHunters EY ujawniło odrębny, potwierdzony incydent naruszenia danych. Dotyczył on zewnętrznej platformy zarządzania usługami IT (ITSM), wykorzystywanej do obsługi wewnętrznych zgłoszeń serwisowych.

Z dostępnych informacji wynika, że:

• EY wykryło naruszenie 23 kwietnia 2026 r. Napastnicy mieli uzyskać dostęp do zarządzanego przez dostawcę systemu pomocy technicznej między 28 marca a 12 kwietnia 2026 r., czyli przez 15 dni.
• Z systemu pobrano dokumenty zawierające podatkowe i finansowe informacje klientów, w tym numery Social Security, numery praw jazdy, dane rachunków finansowych oraz informacje z zeznań podatkowych.
• W lipcu 2026 r. EY złożyło formalne zawiadomienia do organów regulacyjnych w Kalifornii, Maine i co najmniej dwóch innych stanach.
• W związku z incydentem wniesiono co najmniej jeden pozew zbiorowy przeciwko EY.

To dwa różne poziomy informacji: wcześniejszy wyciek z platformy zewnętrznego dostawcy został opisany w dokumentach i ujawnieniach EY, natomiast twierdzenie ShinyHunters dotyczące własnego udziału w ataku pozostaje niepotwierdzone. Nie wiadomo, czy oba zdarzenia są ze sobą powiązane.

ShinyHunters i powtarzalny model „ukradnij, zażądaj, opublikuj”

W 2026 r. ShinyHunters należało do najbardziej aktywnych grup zajmujących się kradzieżą danych i szantażem. Jej schemat działania można streścić jako: włamanie, eksfiltracja danych, żądanie zapłaty, a następnie publikacja lub sprzedaż materiałów.

Do najważniejszych kampanii przypisywanych grupie w 2026 r. należały:

To nie jest klasyczny ransomware

ShinyHunters koncentruje się przede wszystkim na kradzieży danych i szantażu, a nie na szyfrowaniu komputerów ofiary. W przypisywanych grupie operacjach powtarzają się phishing głosowy (vishing), kradzież danych uwierzytelniających, przejmowanie tokenów OAuth oraz ataki na dostawców i platformy SaaS.

Analitycy zwracają również uwagę, że zapłata nie zawsze kończy problem. W sprawie PowerSchool ofiary miały zostać ponownie szantażowane po uiszczeniu żądanej kwoty, co dodatkowo zwiększa ryzyko negocjacji z grupą.

FBI, Mandiant i EclecticIQ opisują ShinyHunters jako motywowany finansowo kolektyw prowadzący działalność w modelu „extortion-as-a-service”, czyli oferujący lub organizujący usługi wymuszeń. Według analiz grupa szybko zwiększa skalę działań, łącząc socjotechnikę wspieraną przez AI z wykorzystywaniem platform SaaS i przejętych tożsamości.

Wniosek na dziś jest prosty: wcześniejszy wyciek danych klientów EY jest faktem ujawnionym przez firmę, ale deklaracja ShinyHunters o odpowiedzialności za ten lub dodatkowy atak wymaga niezależnego potwierdzenia. Sam termin 31 lipca jest elementem presji wywieranej przez grupę, a nie dowodem, że posiada ona dane EY.