ShinyHunters(シャイニーハンターズ)は、アーンスト・アンド・ヤング(EY)のデータ侵害について自らの犯行だと公に主張し、サードパーティ製ITサポートプラットフォームへのサプライチェーン侵害を通じて従業員の認証情報や機密ファイルを窃取したと主張しています。
CSNによると、同グループは2026年7月31日を期限とする「最終警告」を出しており、それまでにEYが交渉に応じなければ、窃取したデータをすべて公開すると脅迫しています。
EYは今月初め、社内スタッフが税務関連のクライアント業務を支援するために使用しているITサービス管理プラットフォームで、2026年4月23日に異常な活動を検知したとして、本件を初めて公表しました。
調査の結果、権限のない第三者が2026年3月28日から4月12日までの間、このプラットフォームにアクセスしていたことが判明しました。この約2週間の間に、多数のEYクライアントに関連する文書がダウンロードされていました。
侵害されたサポートチケットには、クライアントの税務書類が添付されているケースが多く、以下を含む機密データが流出しました。
EYはカリフォルニア州およびテキサス州の司法長官を含む規制当局に侵害通知書を提出し、米国内の複数の州にまたがる少なくとも1,366人の住民が影響を受けたことを確認しています。ただし、同社のグローバルなクライアント基盤を踏まえると、実際の被害者数はこれを大幅に上回るとみられます。
EYは、データが不正利用された証拠はなく、特定のクライアントが標的にされたとは考えていないとしています。同社は影響を受けた個人に対し、2年間の無料クレジットモニタリングと本人確認回復サービスを提供するとしています。
今週になるまで、この攻撃について犯行声明を出す脅威アクターは存在せず、EYも侵入者がどのようにサードパーティプラットフォームに侵入したかを公表していませんでした。
しかし状況は一変しました。ShinyHuntersがリークサイトにEYを、新たな被害者であるRingCentralやBrink’s Homeとともに掲載し、今回の侵入はサプライチェーン攻撃に端を発しており、EYの内部システムへの認証情報を入手したものだと主張したのです。
同グループのリークサイトの通知は2026年7月27日に更新され、次のように警告しています。「これは最終警告です。2026年7月31日までに連絡してください。さもなければ、いくつかの進行中の(デジタルな)問題とともにデータを流出させます」。
この手口は、ShinyHuntersが最近行ったInstructureに対するキャンペーンや、Charter Communications、McGraw Hillへの攻撃で確立してきた手法を踏襲しています。これらの事件では、同グループはSaaSプラットフォーム、SSO認証情報、ビッシング攻撃を悪用し、身代金を要求する前に大量のデータを窃取していました。
ShinyHunters は2026年、最も活発な恐喝集団の一つとして台頭しています。専用のリークサイトを運営し、直接的なネットワーク侵入よりも、サードパーティやサプライチェーンの脆弱性を悪用する手口を頻繁に用いています。
同グループに関連する最近の被害者としては、最大2億7,500万人に影響が及んだとされるInstructureのCanvas LMSや、侵害されたMicrosoft EntraアカウントとSalesforceインスタンスを通じて4,000万件のレコードが窃取されたとされるCharter Communicationsが挙げられます。
セキュリティ研究者らは、同グループが「Scattered Lapsus$ Hunters」集団と頻繁に重なっていると指摘しています。この集団は、ビッシングやSaaSプラットフォームの悪用手法を用いて、Abbott Laboratoriesなどの企業への攻撃も主張しています。
本稿執筆時点で、EYはShinyHuntersの具体的な主張を確認しておらず、7月31日の期限についても公式な回答をしていません。また、窃取されたとされるデータはまだアンダーグラウンドフォーラムには出現していません。
SOC調査の死角を解消し、ANY.RUNで脅威をより早期に封じ込めることで、対応コストと業務への影響を軽減しましょう。
翻訳元: https://cyberpress.org/shinyhunters-claims-supply-chain-attack-exposed-ey-client-tax-documents/
