ShinyHunters 揚言入侵 EY：一文拆解勒索事件真相

點解網絡安全分析師叫大家「睇定啲先」？

分析師對 ShinyHunters 呢個講法抱持 高度懷疑，主要原因有幾個：

• 冇任何證據支持。 今次嘅勒索帖文同 ShinyHunters 以往嘅做法好唔同，以往佢哋通常會公開部分樣本數據或截圖，證明真係入侵成功。但今次 乜都冇，只係得個「講」字。
• 可能係「抽水」跟車太貼。 ShinyHunters 可能只係見到 EY 之前已經公開咗一單第三方平台外洩事件（詳見下文），就趁機話係自己做嘅，藉此抬高自己喺黑客圈子嘅名氣。呢種「搶功勞」嘅行為喺勒索組織入面並唔罕見。
• 「威脅到勒索」嘅連鎖效應。 就算個講法係假嘅，單單點名一個咁大嘅目標，已經可以打擊對方聲譽，令客戶同合作夥伴產生混淆。

EY 之前已公開嘅獨立第三方平台外洩事件

喺 ShinyHunters 出帖之前，EY 其實已經公開交代過 另一宗獨立嘅、已確認嘅資料外洩事件。呢件事涉及一個第三方IT服務管理（ITSM）平台，用嚟處理內部支援工單。重要細節如下：

• 入侵行動喺 2026年4月23日 被偵測到。黑客喺 2026年3月28日至4月12日 期間，即係足足 15日 嘅時間，成功入侵呢個由供應商管理嘅 help-desk 系統。
• 黑客下載咗包含 客戶稅務同財務資料 嘅文件，其中包括 社會安全號碼（SSN）、駕駛執照號碼、財務帳戶資料同報稅資料。
• EY 喺2026年7月正式向 加州、緬因州 以及至少兩個其他州份嘅監管機構提交通知。
• 至少有一宗 集體訴訟 已經因為呢次外洩事件而控告 EY。

最重要嘅一點係： 呢宗已確認嘅第三方平台外洩事件，同 ShinyHunters 嘅講法 係兩件完全唔同嘅事。前者係 EY 自己公開嘅、有文件記錄嘅事件；後者係一個未經證實嘅勒索 claim，可能有關係，亦可能完全冇關係。

ShinyHunters 喺2026年嘅勒索套路

ShinyHunters 絕對係2026年最「勤力」嘅數據盜竊同勒索組織之一，佢哋嘅操作模式非常清晰：「入侵、竊取、勒索、公開或拍賣」。 2026年嘅主要攻擊事件包括：

ShinyHunters 嘅攻擊手法主要靠 語音釣魚（vishing）、盜取登入憑證、濫用 OAuth token，以及供應鏈攻擊，而唔係用傳統嘅加密勒索軟件。 分析師亦指出，ShinyHunters 曾經喺受害者畀錢後 再次勒索，最出名嘅例子就係 PowerSchool 事件，所以同佢哋傾數其實好高風險。

FBI、Mandiant 同 EclecticIQ 都已經發出警告，將 ShinyHunters 定性為一個 以金錢為動機、勒索即服務（extortion-as-a-service）嘅集團，並且透過 AI 輔助嘅社交工程同 SaaS 平台漏洞快速擴張。