ShinyHunters’ın Ernst & Young İddiası: Gerçekler, Şüpheler ve 31 Temmuz Tehdidi

İddia neden temkinle karşılanıyor?

Siber güvenlik uzmanları, ShinyHunters’ın EY iddiasını şu aşamada doğrulanmış bir saldırı olarak değerlendirmiyor. Bunun birkaç nedeni var:

• Kanıt sunulmadı. Paylaşımda dosya örneği, ekran görüntüsü ya da erişimi gösterecek başka bir veri yer almadı. Bu durum, grubun bazı önceki iddialarını desteklemek için örnek veriler yayımlayan yaklaşımından farklı.
• Başka bir ihlale sahip çıkma ihtimali bulunuyor. ShinyHunters, daha önce kamuoyuna yansıyan gerçek bir veri ihlalini kendi markasıyla ilişkilendiriyor olabilir. Siber suç gruplarının, tanınırlık kazanmak veya pazarlık baskısını artırmak için başka saldırılara sonradan sahip çıkması bilinen bir yöntem.
• İddianın kendisi bile baskı yaratıyor. Bir şirketin adını sızıntı sitesinde yayımlamak, iddia doğrulanmasa dahi itibar kaybına ve müşterilerle iş ortakları arasında belirsizliğe yol açabiliyor.

27 Temmuz itibarıyla EY’nin, ShinyHunters’ın özel iddiasını doğruladığına veya 31 Temmuz tarihine kamuya açık biçimde yanıt verdiğine dair bir bilgi bulunmuyordu; ayrıca yeraltı forumlarında çalındığı öne sürülen verilerden herhangi birinin yayımlandığı da bildirilmedi.

EY’nin daha önce açıkladığı doğrulanmış ihlal farklı bir olay

ShinyHunters’ın paylaşımından önce EY, üçüncü taraf bir IT hizmet yönetimi platformunu etkileyen ayrı ve doğrulanmış bir veri ihlalini açıklamıştı. Platform, şirket içi destek taleplerinin yönetiminde kullanılıyordu.

Olayın temel ayrıntıları şöyle:

• EY, anormal faaliyeti 23 Nisan 2026’da tespit etti. Yetkisiz taraf, 28 Mart ile 12 Nisan 2026 arasında, yani yaklaşık 15 günlük bir dönemde, hizmet sağlayıcı tarafından yönetilen yardım masası sistemine erişti.
• Saldırganlar, müşterilerin vergi ve finans bilgilerini içeren belgeleri indirdi. Etkilenmiş olabilecek bilgiler arasında Sosyal Güvenlik numaraları, sürücü belgesi numaraları, finansal hesap bilgileri ve vergi beyannamesi verileri bulunuyor.
• EY, temmuz ayında Kaliforniya, Maine ve en az iki eyaletteki düzenleyici kurumlara resmi bildirim yaptı.
• İhlal nedeniyle EY’ye karşı en az bir toplu dava açıldı.

Buradaki kritik ayrım şu: EY’nin daha önce açıkladığı üçüncü taraf platform ihlali belgelenmiş bir olay. ShinyHunters’ın 27 Temmuz’daki iddiası ise henüz kanıtlanmış değil. İki olayın bağlantılı olup olmadığı da şu aşamada bilinmiyor.

ShinyHunters’ın 2026 boyunca izlediği model

ShinyHunters, 2026’da veri hırsızlığı ve gasp faaliyetleri bakımından en aktif gruplardan biri olarak öne çıktı. Grubun tekrarlanan yöntemi genel olarak “ihlal et, veriyi dışarı çıkar, ödeme talep et, ardından yayımla veya sat” şeklinde ilerliyor.

2026’daki öne çıkan kampanyalar arasında şunlar yer alıyor:

Grubun faaliyetleri, sistemleri şifreleyerek işleyişi durduran klasik fidye yazılımından ziyade kimlik ve bulut servisleri merkezli veri gaspına dayanıyor. Kullanılan yöntemler arasında sesli oltalama (vishing), kimlik bilgisi hırsızlığı, OAuth token kötüye kullanımı ve tedarik zinciri saldırıları bulunuyor.

Analizler ayrıca grubun ödeme yapan bazı mağdurlara daha sonra yeniden şantaj yaptığını belirtiyor. PowerSchool vakası, bu yaklaşımın en çok öne çıkan örneklerinden biri olarak gösteriliyor. Bu nedenle yalnızca ödeme yapmanın tehdidi sona erdireceği garanti değil.

FBI, Mandiant ve EclecticIQ; ShinyHunters markası altında yürütülen faaliyetleri finansal motivasyonlu, hizmet olarak gasp modeline yaklaşan bir siber suç yapılanması olarak izliyor. Bu operasyonların yapay zekâ destekli sosyal mühendislik ve hizmet olarak yazılım (SaaS) platformlarının istismarıyla hızla genişlediği değerlendiriliyor.

EY iddiası açısından mevcut tablo bu nedenle iki parçalı: EY’nin üçüncü taraf IT destek platformuyla ilgili ihlali gerçek ve daha önce açıklanmış bir olay; ShinyHunters’ın bu olaya sahip çıkıp ek bir saldırı gerçekleştirdiği iddiası ise bağımsız kanıt gelene kadar doğrulanmamış bir tehdit olarak kalıyor.