Tại sao các chuyên gia an ninh mạng kêu gọi thận trọng

Các nhà phân tích đang tỏ ra nghi ngờ về tuyên bố này vì một số lý do:

• Thiếu bằng chứng hỗ trợ. Bài đăng trên trang rò rỉ đáng chú ý vì không bao gồm dữ liệu mẫu, ảnh chụp màn hình hay bất kỳ bằng chứng xâm nhập nào khác - một sự khác biệt so với cách tiếp cận thông thường của ShinyHunters là công bố các mẫu để chứng minh cho tuyên bố của chúng .
• Khả năng 'cưỡi sóng' (bandwagoning). Nhóm này có thể đang cơ hội gắn tên tuổi của mình vào một vụ vi phạm thực sự đã được công bố (xem bên dưới) mà chúng không hề liên quan. Đây là một mô hình đã biết, trong đó các nhóm tống tiền tuyên bố sai trách nhiệm cho các sự cố để gây chú ý .
• Quy trình 'đe dọa-tống tiền'. Ngay cả khi tuyên bố là sai, chỉ cần nêu tên một mục tiêu giá trị cao cũng có thể gây tổn hại đến danh tiếng và gây nhầm lẫn cho khách hàng và đối tác.

Vụ vi phạm riêng biệt trước đó của EY liên quan đến bên thứ ba

Trước tuyên bố của ShinyHunters, EY đã công bố một vụ vi phạm dữ liệu riêng biệt, đã được xác nhận liên quan đến nền tảng quản lý dịch vụ CNTT (ITSM) bên thứ ba được sử dụng cho các ticket hỗ trợ nội bộ. Các chi tiết chính:

• Vụ xâm nhập được phát hiện vào ngày 23 tháng 4 năm 2026. Những kẻ tấn công đã truy cập vào hệ thống trợ giúp do nhà cung cấp quản lý từ ngày 28 tháng 3 đến ngày 12 tháng 4 năm 2026 - một khoảng thời gian 15 ngày .
• Những kẻ xâm nhập đã tải xuống các tài liệu chứa thông tin tài chính và thuế của khách hàng, bao gồm số An sinh Xã hội (SSN), số giấy phép lái xe, dữ liệu tài khoản tài chính và thông tin khai thuế .
• EY đã gửi thông báo chính thức tới các cơ quan quản lý ở California, Maine và ít nhất hai tiểu bang khác vào tháng 7 năm 2026 .
• Ít nhất một vụ kiện tập thể đã được đệ trình chống lại EY liên quan đến vụ vi phạm này .

Vụ vi phạm bên thứ ba đã được xác nhận và tuyên bố của ShinyHunters không phải là cùng một sự cố - vụ việc trước là một sự kiện đã được ghi nhận mà EY đã tiết lộ; vụ việc sau là một tuyên bố không có cơ sở và có thể có hoặc không liên quan.

Mô hình tống tiền của ShinyHunters trong suốt năm 2026

ShinyHunters đã trở thành một trong những nhóm đánh cắp dữ liệu và tống tiền hoạt động mạnh nhất trong năm 2026, vận hành một mô hình nhất quán "xâm nhập, đánh cắp, đòi hỏi và công bố hoặc bán" . Các chiến dịch lớn trong năm 2026 bao gồm:

Phương thức hoạt động của nhóm này dựa trên lừa đảo qua điện thoại (vishing), đánh cắp thông tin đăng nhập, lạm dụng token OAuth và tấn công chuỗi cung ứng thay vì sử dụng mã độc tống tiền mã hóa . Các nhà phân tích cũng lưu ý rằng ShinyHunters đã tống tiền lại nạn nhân sau khi đã nhận tiền chuộc - đáng chú ý nhất là trong vụ PowerSchool - khiến việc đàm phán trở thành một chiến lược rủi ro .

FBI, Mandiant và EclecticIQ đều đã đưa ra các khuyến cáo theo dõi ShinyHunters như một tập thể tống tiền hoạt động vì mục đích tài chính, cung cấp dịch vụ tống tiền (extortion-as-a-service) đã mở rộng nhanh chóng thông qua kỹ thuật xã hội hỗ trợ AI và khai thác các nền tảng SaaS .

Tại sao các chuyên gia an ninh mạng kêu gọi thận trọng

Các nhà phân tích đang tỏ ra nghi ngờ về tuyên bố này vì một số lý do:

• Thiếu bằng chứng hỗ trợ. Bài đăng trên trang rò rỉ đáng chú ý vì không bao gồm dữ liệu mẫu, ảnh chụp màn hình hay bất kỳ bằng chứng xâm nhập nào khác - một sự khác biệt so với cách tiếp cận thông thường của ShinyHunters là công bố các mẫu để chứng minh cho tuyên bố của chúng .
• Khả năng 'cưỡi sóng' (bandwagoning). Nhóm này có thể đang cơ hội gắn tên tuổi của mình vào một vụ vi phạm thực sự đã được công bố (xem bên dưới) mà chúng không hề liên quan. Đây là một mô hình đã biết, trong đó các nhóm tống tiền tuyên bố sai trách nhiệm cho các sự cố để gây chú ý .
• Quy trình 'đe dọa-tống tiền'. Ngay cả khi tuyên bố là sai, chỉ cần nêu tên một mục tiêu giá trị cao cũng có thể gây tổn hại đến danh tiếng và gây nhầm lẫn cho khách hàng và đối tác.

Vụ vi phạm riêng biệt trước đó của EY liên quan đến bên thứ ba

Trước tuyên bố của ShinyHunters, EY đã công bố một vụ vi phạm dữ liệu riêng biệt, đã được xác nhận liên quan đến nền tảng quản lý dịch vụ CNTT (ITSM) bên thứ ba được sử dụng cho các ticket hỗ trợ nội bộ. Các chi tiết chính:

• Vụ xâm nhập được phát hiện vào ngày 23 tháng 4 năm 2026. Những kẻ tấn công đã truy cập vào hệ thống trợ giúp do nhà cung cấp quản lý từ ngày 28 tháng 3 đến ngày 12 tháng 4 năm 2026 - một khoảng thời gian 15 ngày .
• Những kẻ xâm nhập đã tải xuống các tài liệu chứa thông tin tài chính và thuế của khách hàng, bao gồm số An sinh Xã hội (SSN), số giấy phép lái xe, dữ liệu tài khoản tài chính và thông tin khai thuế .
• EY đã gửi thông báo chính thức tới các cơ quan quản lý ở California, Maine và ít nhất hai tiểu bang khác vào tháng 7 năm 2026 .
• Ít nhất một vụ kiện tập thể đã được đệ trình chống lại EY liên quan đến vụ vi phạm này .

Vụ vi phạm bên thứ ba đã được xác nhận và tuyên bố của ShinyHunters không phải là cùng một sự cố - vụ việc trước là một sự kiện đã được ghi nhận mà EY đã tiết lộ; vụ việc sau là một tuyên bố không có cơ sở và có thể có hoặc không liên quan.

Mô hình tống tiền của ShinyHunters trong suốt năm 2026

ShinyHunters đã trở thành một trong những nhóm đánh cắp dữ liệu và tống tiền hoạt động mạnh nhất trong năm 2026, vận hành một mô hình nhất quán "xâm nhập, đánh cắp, đòi hỏi và công bố hoặc bán" . Các chiến dịch lớn trong năm 2026 bao gồm:

Phương thức hoạt động của nhóm này dựa trên lừa đảo qua điện thoại (vishing), đánh cắp thông tin đăng nhập, lạm dụng token OAuth và tấn công chuỗi cung ứng thay vì sử dụng mã độc tống tiền mã hóa . Các nhà phân tích cũng lưu ý rằng ShinyHunters đã tống tiền lại nạn nhân sau khi đã nhận tiền chuộc - đáng chú ý nhất là trong vụ PowerSchool - khiến việc đàm phán trở thành một chiến lược rủi ro .

FBI, Mandiant và EclecticIQ đều đã đưa ra các khuyến cáo theo dõi ShinyHunters như một tập thể tống tiền hoạt động vì mục đích tài chính, cung cấp dịch vụ tống tiền (extortion-as-a-service) đã mở rộng nhanh chóng thông qua kỹ thuật xã hội hỗ trợ AI và khai thác các nền tảng SaaS .