Die Erpressergruppe ShinyHunters hat Ernst & Young nach eigenen Angaben eine Frist bis zum heutigen Freitag, 31. Juli 2026, gesetzt. Die Gruppe droht mit der Veröffentlichung angeblich gestohlener Dateien, falls das Beratungsunternehmen keinen Kontakt aufnimmt. Bis Freitagmittag war weder eine Veröffentlichung noch eine Einigung öffentlich bestätigt.
Ein Sicherheitsvorfall bei Ernst & Young ist grundsätzlich bestätigt. Unbekannte griffen zwischen dem 28. März und 12. April auf eine externe Plattform für interne IT-Supportanfragen zu. EY entdeckte die verdächtigen Aktivitäten am 23. April und informierte betroffene Kunden später über heruntergeladene Dokumente.
Unbestätigt bleibt dagegen die Verantwortung von ShinyHunters. Die Gruppe behauptet außerdem einen umfassenderen Zugriff auf Jira, GitHub und Azure. Ernst & Young hat diese Angaben nicht bestätigt. Der Fall zeigt die hohen Risiken externer Supportsysteme für die Software-Sicherheit großer Unternehmen.
Der öffentliche Stand lässt sich so zusammenfassen:
- Bestätigter Vorfall: Ein externer IT-Dienst wurde unbefugt aufgerufen.
- Bestätigter Datenabfluss: Die Angreifer luden mehrere Dokumente aus Supporttickets herunter.
- Mögliche Inhalte: Die Dokumente konnten persönliche, finanzielle und steuerbezogene Informationen enthalten.
- Unbestätigte Täterangabe: ShinyHunters beansprucht den Angriff für sich.
- Unbestätigter Umfang: Die Gruppe behauptet zusätzliche Zugriffe auf Jira, GitHub und Azure.
- Frist: ShinyHunters nennt den 31. Juli als letzten Termin für eine Kontaktaufnahme.
- Aktueller Status: Eine Veröffentlichung der Daten war bis Freitagmittag nicht bestätigt.
| Punkt | Status | Bekannter Stand |
|---|---|---|
| Sicherheitsvorfall | bestätigt | externe IT-Supportplattform betroffen |
| Gestohlene Dokumente | bestätigt | Dateien aus Supporttickets heruntergeladen |
| Verantwortliche Gruppe | nicht bestätigt | ShinyHunters beansprucht den Angriff |
| Zugriff auf Jira, GitHub und Azure | nicht bestätigt | Behauptung der Erpressergruppe |
| Lösegeldforderung | nicht veröffentlicht | kein öffentlicher Betrag bekannt |
| Veröffentlichungsfrist | von ShinyHunters genannt | 31. Juli 2026 |
| Datenveröffentlichung | bis Freitagmittag nicht bestätigt | weitere Entwicklung offen |
EY bestätigt Datenabfluss aus externer Supportplattform
Ernst & Young verwendet die betroffene IT-Service-Management-Plattform für interne Supportaufgaben. Mitarbeiter unterstützen darüber Teams mit steuerbezogenen Kundenprojekten. Supporttickets konnten Dokumente aus der Vorbereitung von Steuererklärungen enthalten.
EY stellte nach der Entdeckung eine Untersuchung mit externen Cybersicherheitsexperten an. Das Unternehmen sicherte nach eigenen Angaben die betroffenen Systeme, entfernte den unbefugten Zugriff und informierte US-Bundesbehörden.
Behördenmeldungen nennen je nach betroffener Person verschiedene Datenarten. Dazu können Namen, Adressen, Sozialversicherungsnummern, Kontodaten sowie Kredit- und Debitkarteninformationen gehören. EY hat keine vollständige öffentliche Liste für sämtliche Betroffenen vorgelegt.
Auch die Zahl der betroffenen Personen bleibt unbekannt. Der Eintrag bei der kalifornischen Generalstaatsanwaltschaft belegt lediglich eine Benachrichtigung von mehr als 500 Einwohnern des Bundesstaats. Daraus lässt sich keine Gesamtzahl für die USA oder andere Länder ableiten.
EY bietet benachrichtigten Personen zwei Jahre lang Dienste zur Identitätsüberwachung und Wiederherstellung über Experian an. Das Unternehmen erklärte zunächst, keine Hinweise auf einen Missbrauch der betroffenen Informationen zu besitzen.
Der bestätigte Vorfall und die Aussagen von ShinyHunters dürfen nicht gleichgesetzt werden. EY bestätigt den Zugriff auf das externe Supportsystem. Eine Verbindung zu ShinyHunters sowie der behauptete Zugriff auf weitere Cloud- und Entwicklungsumgebungen bleiben offen.
ShinyHunters droht mit Veröffentlichung nach Fristablauf
ShinyHunters veröffentlichte Ernst & Young auf seiner eigenen Leak-Seite und forderte das Unternehmen zur Kontaktaufnahme auf. Die Gruppe will angeblich sämtliche gestohlenen Daten veröffentlichen, falls bis zum 31. Juli keine Verhandlungen beginnen.
Öffentliche Berichte nennen keine genaue Uhrzeit. Der Ablauf des Kalendertags bedeutet zudem nicht automatisch eine sofortige Veröffentlichung. Erpressergruppen verlängern Fristen teilweise, entfernen Einträge nach Verhandlungen oder veröffentlichen zunächst nur kleine Datenproben.
ShinyHunters behauptet einen Angriff über die Lieferkette. Gestohlene Zugangsdaten eines nicht genannten Drittanbieters sollen den weiteren Zugriff ermöglicht haben. Die Gruppe legte keine öffentlich überprüfbaren Belege für diesen Ablauf vor.
Der mögliche Einstieg über einen Dienstleister erinnert an andere Angriffe auf Software-Lieferketten. Externe Plattformen besitzen häufig Zugänge zu internen Abläufen oder enthalten vertrauliche Anhänge. Ein einzelner kompromittierter Anbieter kann dadurch mehrere Kunden gleichzeitig gefährden.
Für betroffene EY-Kunden entsteht vor allem ein erhöhtes Risiko für gezieltes Phishing und Identitätsbetrug. Steuerunterlagen enthalten Informationen für besonders glaubwürdige Nachrichten. Kriminelle könnten sich als EY, Bank, Steuerbehörde oder Identitätsdienst ausgeben.
Benachrichtigte Kunden sollten deshalb mehrere Maßnahmen beachten:
- Das angebotene Identitätsmonitoring über den offiziellen EY-Kanal aktivieren.
- Finanzkonten und Kreditkartenabrechnungen regelmäßig kontrollieren.
- Unerwartete Steuer-, Bank- und Supportnachrichten besonders kritisch prüfen.
- Keine Zugangsdaten über Links in unaufgeforderten E-Mails eingeben.
- Einmalige Passwörter und Mehrfaktor-Authentifizierung für wichtige Konten verwenden.
- Verdächtige Kontakte direkt über bekannte Telefonnummern oder Webseiten verifizieren.
Der 31. Juli bildet damit zunächst einen von ShinyHunters gesetzten Termin und keine behördliche oder technische Frist. Entscheidend bleibt die weitere Reaktion von Ernst & Young. Auch eine mögliche Veröffentlichung benötigt eine unabhängige Prüfung auf Echtheit, Umfang und Verbindung zum bestätigten Supportsystem-Vorfall.