ShinyHunters 宣稱入侵 Ernst & Young：拆解 2026 年 7 月勒贖事件中的事實與誇大

為何資安分析師呼籲審慎看待

分析師對這項主張持 懷疑態度，原因如下：

• 缺乏證據支援。 這次的洩密貼文顯著缺少了樣本資料、截圖或其他入侵證明——這與 ShinyHunters 慣用的做法（釋出樣本以佐證其說法）不符。
• 可能的搭便車行為。 該集團可能只是機會主義地將其品牌與一個真實發生、且已公開的外洩事件（見下文）做連結，但實際上並未參與其中。這是已知的勒索集團慣用伎倆，即虛報攻擊以博取名聲。
• 「威脅到勒索」的產業鏈。 即便主張是假的，單是點名一個高價值目標，就足以損害其聲譽，並在客戶與合作夥伴間造成混亂。

EY 先前揭露的獨立第三方供應商外洩事件

在 ShinyHunters 提出主張之前，EY 已經揭露了一起 經確認、獨立 的資料外洩事件，涉及一個用於內部支援單的第三方IT服務管理（ITSM）平台。關鍵細節如下：

• 這起入侵事件在 2026年4月23日 被發現。攻擊者在 2026年3月28日至4月12日 的15天內，取得了該供應商管理的客服系統存取權限。
• 入侵者下載了包含 客戶稅務和財務資訊 的文件，其中包括 社會安全碼、駕照號碼、財務帳戶資料和稅務申報資訊。
• EY 已於2026年7月向 加州、緬因州 及至少其他兩個州的監管機構提交正式通報。
• 目前至少已有一起針對 EY 此事件的 集體訴訟 被提出。

這起經確認的第三方供應商外洩事件與 ShinyHunters 的主張 並非同一事件——前者是 EY 已公開記錄在案的事件；後者則是一個未經證實的主張，兩者可能有關聯，也可能毫無關係。

ShinyHunters 在2026年的勒索模式

ShinyHunters 已是2026年最活躍的資料竊取與勒索集團之一，其運作模式遵循一套一致的 「入侵、竊取、勒索、公布或出售」 流程。 該集團在2026年的重大攻擊行動包括：

該集團的攻擊手法依賴於 語音釣魚（vishing）、憑證竊取、OAuth 令牌濫用和供應鏈入侵，而非傳統的加密勒索軟體。 分析師也指出，ShinyHunters 曾 在收到贖金後再次對受害者進行勒索——最著名的是 PowerSchool 案例——這使得與其談判成為一種高風險策略。

美國聯邦調查局（FBI）、Mandiant 和 EclecticIQ 均已發布警告，將 ShinyHunters 視為一個 以金錢為動機、勒索即服務（extortion-as-a-service）的犯罪集團，該集團透過 AI 驅動的社交工程和 SaaS 平台漏洞利用迅速擴張。