ShinyHunters behauptet einen Datenbruch bei Ernst & Young und droht, gestohlene Steuerdaten bis zum 31. Juli zu veröffentlichen.

Die Erpresserbande ShinyHunters hat die Verantwortung für einen Datenvorfall bei Ernst & Young übernommen und setzt der Firma eine Frist bis zum 31. Juli, um Kontakt aufzunehmen – andernfalls drohe die Veröffentlichung der gestohlenen Daten. Die Bande gibt an, EY-Zugangsdaten über einen Supply-Chain-Angriff erlangt und damit Zugriff auf Jira-, GitHub- und Azure-Umgebungen erhalten zu haben – und damit deutlich tiefer eingedrungen zu sein als in das Drittanbieter-Support-Ticket-System, dessen Kompromittierung EY öffentlich eingeräumt hatte, wie BleepingComputer berichtet.

Ernst & Young hatte den Vorfall Anfang des Monats offengelegt und bestätigt, dass eine von EY-Mitarbeitern genutzte IT-Service-Management-Plattform eines Drittanbieters kompromittiert wurde. Das Unternehmen stellte am 23. April ungewöhnliche Aktivitäten fest und ermittelte, dass der unbefugte Zugriff zwischen dem 28. März und dem 12. April 2026 erfolgte. In diesem Zeitraum lud ein Angreifer Dokumente mit Support-Tickets herunter, die möglicherweise Kundendaten zu Steuererklärungen sowie persönliche und finanzielle Informationen enthielten, die für die Erstellung von Steuerunterlagen verwendet wurden.

EY hat weder bekannt gegeben, wie viele Kunden betroffen sind, noch welche konkreten Daten offengelegt wurden. Betroffenen Kunden werden 24 Monate Identitätsschutz über Experian angeboten; die US-Bundesbehörden wurden informiert.

ShinyHunters behauptet weitergehenden Zugriff

ShinyHunters teilte BleepingComputer mit, dass die gestohlenen Zugangsdaten aus dem Supply-Chain-Angriff ihnen Zugriff auf EY-Jira-Projektmanagement, GitHub-Code-Repositories und Azure-Cloud-Umgebungen verschafft hätten – wesentlich umfassender als von EY öffentlich dargestellt.

Ernst & Young hat die konkreten Behauptungen von ShinyHunters nicht bestätigt. Die Frist bis zum 31. Juli ist eine übliche Erpressungstaktik: Die Bande nimmt Unternehmen in ihre Leak-Seite auf und fordert Kontaktaufnahme, wobei die Drohung, gestohlene Daten zu veröffentlichen, als Druckmittel dient.

ShinyHunters‘ bisherige Bilanz

ShinyHunters hat eine dokumentierte Geschichte von Angriffen auf große Organisationen wie Ticketmaster und Santander Bank. Ihre Methode – Supply-Chain-Angriffe, bei denen Zugangsdaten über Drittanbieter kompromittiert werden – hat sich zu einem der effektivsten Vektoren für das Eindringen in große Unternehmen entwickelt. EY ist eine der Big-Four-Wirtschaftsprüfungsgesellschaften und betreut weltweit tausende Firmenkunden. Die Offenlegung von Kundendaten zu Steuererklärungen hätte erhebliche Konsequenzen für die betroffenen Personen und Unternehmen.