Was ShinyHunters über Ernst & Young behauptet
Die Erpressergruppe ShinyHunters hat Ernst & Young, eines der weltweit größten professionellen Dienstleistungsunternehmen, auf ihre Liste angeblicher Opfer gesetzt. Der Behauptung zufolge gibt die Gruppe an, sie habe sich Zugang durch eine Lieferketten-Kompromittierung über eine IT-Support-Plattform eines Drittanbieters verschafft, gestohlene Anmeldedaten verwendet, um auf interne Systeme zuzugreifen, darunter eine Jira-Instanz, und schließlich Steuererklärungsdaten abgezogen. ShinyHunters hat Berichten zufolge eine Frist bis zum 31. Juli für EY gesetzt, um zu reagieren, und droht, das gestohlene Material zu veröffentlichen, falls das Unternehmen keinen Kontakt aufnimmt.
Derzeit handelt es sich um eine Ransomware-Behauptung von ShinyHunters gegen Ernst & Young, nicht um einen bestätigten Verstoß. Es sind keine Beispieldateien, durchgesickerten Datenbanken oder unabhängig überprüften Beweise für gestohlene Steuerunterlagen öffentlich aufgetaucht. Die Behauptung stützt sich derzeit ausschließlich auf die eigenen Aussagen von ShinyHunters, die auf deren Leak-Seite veröffentlicht und über Kanäle von Sicherheitsforschern und soziale Medien verbreitet wurden.
Warum es noch keine bestätigten Beweise für ein Leck gibt
Ransomware- und Erpressergruppen veröffentlichen routinemäßig Behauptungen lange bevor oder manchmal gänzlich ohne brauchbare Beweise vorzulegen. Eine Auflistung auf einer Leak-Seite ist nicht dasselbe wie ein bestätigter Datenverstoß. Eine Überprüfung erfordert in der Regel entweder, dass das Unternehmen einen Vorfall einräumt, Sicherheitsforscher durchgesickerte Proben mit echten Datensätzen abgleichen oder die Angreifer genügend Daten freigeben, um den Diebstahl zu authentifizieren.
Im Fall von Ernst & Young sind die kursierenden Einzelheiten – ein Lieferketten-Ansatz über einen IT-Support-Anbieter, Anmeldedatendiebstahl und Jira-Zugriff – konsistent mit Taktiken, die ShinyHunters zuvor verwendet hat. Aber Konsistenz mit früherem Verhalten ist keine Bestätigung. Solange EY keine formelle Stellungnahme abgibt oder überprüfbare Daten auftauchen, sollte die Behauptung als unbewiesen behandelt werden. Dieser Unterschied ist wichtig, denn sowohl voreilige Panik als auch voreiliges Abtun bergen Risiken für Kunden und Mitarbeiter, die auf die eine oder andere Weise betroffen sein könnten.
Wie Ransomware-Gruppen unbestätigte Behauptungen als Druckmittel nutzen
Hier passt die Ernst & Young-Situation in ein breiteres und zunehmend vertrautes Muster. ShinyHunters hat ein Muster entwickelt, große, bekannte Organisationen zu benennen und dann das Reputationsgewicht dieses Namens zu nutzen, um eine Reaktion zu erzwingen, unabhängig davon, ob der zugrunde liegende Verstoß jemals vollständig belegt wird. Ein Unternehmen von der Größe EYs gerät sofort unter Beobachtung, sobald sein Name auf einer Leak-Seite erscheint, selbst wenn die technischen Behauptungen dahinter unbestätigt bleiben.
Die Gruppe ist bei anderen Zielen ähnlich vorgegangen. Sie behauptete einen Verstoß bei Exact Sciences, dem Diagnostikunternehmen hinter dem Cologuard-Test, und stellte sensible Gesundheitsdaten in den Mittelpunkt des Erpressungsversuchs. Sie übernahm auch die Verantwortung für einen Verstoß bei Baker Distributing, einem großen HLK- und Kälteanlagenhändler, und behauptete den Diebstahl von Finanzunterlagen im Zusammenhang mit Addi.com, einem kolumbianischen Finanzdienstleistungsunternehmen. In jedem dieser Fälle leistete die Ankündigung selbst, nicht unbedingt harte Beweise, den größten Teil der Druckarbeit. Ein separater Vorfall mit Cushman & Wakefield zeigt, wie mehrere Erpressergruppen überlappende Opfer beanspruchen können, was die Verwirrung für jeden erhöht, der versucht, zu bewerten, was tatsächlich passiert ist.
Die Strategie ist einfach: Die Nennung einer vertrauenswürdigen, hochkarätigen Marke erzeugt schnell Medienberichterstattung und Kundenangst, oft schneller als das unter Beobachtung stehende Unternehmen untersuchen und reagieren kann. Diese Asymmetrie ist das Druckmittel.
Was das für Sie bedeutet
Wenn Sie Kunde, Lieferant oder Mitarbeiter von Ernst & Young sind, besteht der verantwortungsvolle Schritt jetzt in Vorsicht, nicht im Warten auf eine Bestätigung. Ransomware-Gruppen profitieren, wenn Leute annehmen, keine Nachrichten bedeuteten kein Risiko. Angesichts der Art der Behauptung – Steuererklärungsdaten, die angeblich über einen Lieferkettenweg entwendet wurden – sollte jeder mit einer finanziellen oder beruflichen Beziehung zu EY davon ausgehen, dass eine gewisse Exposition möglich ist, bis das Unternehmen die Situation klärt.
Praktische Schritte sind sinnvoll, unabhängig davon, wie sich diese spezielle Ransomware-Behauptung von ShinyHunters gegen Ernst & Young auflöst. Achten Sie auf Phishing-Versuche, die sich auf EY, Steuererklärungen oder Prüfungsbeziehungen beziehen, da Angreifer die Publicity um einen behaupteten Verstoß oft nutzen, um überzeugende Folge-Betrügereien zu konstruieren. Wenn Sie sensible Finanz- oder Steuerdokumente mit EY geteilt haben, sollten Sie Ihre Konten und Kreditaktivitäten in den kommenden Wochen genauer überwachen. Mitarbeiter sollten auf ungewöhnliche Anmeldeaufforderungen oder Anfragen zur Zurücksetzung von Anmeldedaten achten, da der behauptete Eindringpunkt eine IT-Support-Plattform eines Drittanbieters umfasste – eine Erinnerung daran, dass der Lieferkettenzugang nach wie vor einer der häufigsten Wege für Angreifer ist, um ansonsten gut verteidigte Organisationen zu erreichen.
Das Fazit
Die Behauptung von ShinyHunters gegen Ernst & Young ist ernst genug, um sie ernst zu nehmen, aber es handelt sich noch nicht um einen bestätigten Verstoß. Das Muster bei anderen angeblichen Zielen, von Gesundheitsdiagnostik über Vertrieb bis hin zu Finanzdienstleistungsunternehmen, zeigt eine Gruppe, die sich ebenso sehr auf die Behauptung selbst stützt wie auf die dahinterstehenden Daten. Betrachten Sie dies als Anlass, Ihre eigene Exposition zu überprüfen und grundlegende Sicherheitsgewohnheiten jetzt zu verschärfen, anstatt auf eine Bestätigung zu warten, die vielleicht oder vielleicht nicht nach dem Zeitplan der Gruppe kommt. Informiert zu bleiben, offizielle EY-Mitteilungen zu verfolgen und skeptisch gegenüber unaufgeforderten Nachrichten zu sein, die auf diesen Vorfall Bezug nehmen, sind die praktikabelsten Schritte, während sich die Situation entwickelt.
