Cosa sostiene ShinyHunters riguardo a Ernst & Young
Il gruppo di estorsione ShinyHunters ha aggiunto Ernst & Young, una delle più grandi società di servizi professionali al mondo, alla sua lista di presunte vittime. Secondo la rivendicazione, il gruppo afferma di aver ottenuto l'accesso attraverso un compromesso della catena di fornitura che ha coinvolto una piattaforma di supporto IT di terze parti, utilizzando credenziali rubate per raggiungere sistemi interni, inclusa un'istanza Jira, e infine estraendo dati di dichiarazioni fiscali. ShinyHunters avrebbe fissato la scadenza del 31 luglio per una risposta di EY, minacciando di pubblicare il materiale rubato se l'azienda non prenderà contatto.
Al momento, questa è una rivendicazione ransomware di ShinyHunters contro Ernst & Young, non una violazione confermata. Non sono emersi pubblicamente file campione, database trapelati o prove verificate in modo indipendente di documenti fiscali rubati. La rivendicazione si basa interamente sulle dichiarazioni di ShinyHunters, pubblicate sul suo sito di leak e diffuse attraverso i canali dei ricercatori di sicurezza e i social media.
Perché non ci sono ancora prove verificate di un leak
I gruppi di ransomware ed estorsione pubblicano regolarmente rivendicazioni ben prima, o talvolta senza mai fornire, prove utilizzabili. Un annuncio su un sito di leak non equivale a una violazione dei dati confermata. La verifica richiede in genere che l'azienda riconosca un incidente, che i ricercatori di sicurezza abbinino campioni trapelati a dati reali, oppure che gli aggressori rilascino dati sufficienti per autenticare il furto.
Nel caso di Ernst & Young, i dettagli che circolano – un vettore di compromissione della catena di fornitura tramite un fornitore di supporto IT, furto di credenziali e accesso a Jira – sono coerenti con le tattiche già utilizzate da ShinyHunters. Ma la coerenza con comportamenti passati non è una conferma. Finché EY non rilascerà una dichiarazione ufficiale o non appariranno dati verificabili, la rivendicazione deve essere considerata non comprovata. Questa distinzione è importante, perché il panico prematuro o il rigetto affrettato comportano entrambi rischi per i clienti e i dipendenti che potrebbero essere coinvolti in ogni caso.
Come i gruppi ransomware usano rivendicazioni non verificate come leva
È qui che la situazione di Ernst & Young si inserisce in un playbook più ampio e sempre più familiare. ShinyHunters ha costruito un modello in cui nomina organizzazioni grandi e riconoscibili, per poi usare il peso reputazionale di quel nome per fare pressione e ottenere una risposta, indipendentemente dal fatto che la violazione sottostante sia mai pienamente comprovata. Un'azienda delle dimensioni di EY subisce un controllo immediato nel momento in cui il suo nome appare su un sito di leak, anche se le affermazioni tecniche alla base rimangono non verificate.
Il gruppo ha seguito un approccio simile con altri obiettivi. Ha rivendicato una violazione di Exact Sciences, l'azienda di diagnostica che produce il test Cologuard, mettendo i dati sanitari sensibili al centro del tentativo di estorsione. Ha anche rivendicato la responsabilità di una violazione presso Baker Distributing, un importante distributore HVAC e di refrigerazione, e ha sostenuto il furto di documenti finanziari legati a Addi.com, una società di servizi finanziari colombiana. In ognuno di questi casi, l'annuncio stesso, non necessariamente le prove concrete, ha svolto la maggior parte del lavoro di pressione. Un episodio separato che ha coinvolto Cushman & Wakefield mostra come più gruppi di estorsione possano rivendicare vittime sovrapposte, aggiungendo ulteriore confusione per chiunque cerchi di valutare cosa sia realmente accaduto.
La strategia è semplice: nominare un marchio affidabile e di alto profilo genera rapidamente copertura mediatica e ansia tra i clienti, spesso più velocemente di quanto l'azienda sotto esame possa indagare e rispondere. Questa asimmetria costituisce la leva.
Cosa significa questo per te
Se sei un cliente, un fornitore o un dipendente di Ernst & Young, la mossa responsabile in questo momento è la cautela, non l'attesa di una conferma. I gruppi ransomware traggono vantaggio quando le persone presumono che l'assenza di notizie significhi assenza di rischi. Data la natura della rivendicazione – dati di dichiarazioni fiscali presumibilmente sottratti attraverso un canale della catena di fornitura – chiunque abbia una relazione finanziaria o professionale con EY dovrebbe considerare possibile una qualche esposizione finché l'azienda non chiarirà la situazione.
Adottare misure pratiche ha senso a prescindere da come si risolverà questa specifica rivendicazione ransomware di ShinyHunters contro Ernst & Young. Fai attenzione ai tentativi di phishing che fanno riferimento a EY, alle dichiarazioni fiscali o ai rapporti di revisione, poiché gli aggressori spesso sfruttano la pubblicità intorno a una presunta violazione per creare truffe di follow-up convincenti. Se hai condiviso documenti finanziari o fiscali sensibili con EY, considera di monitorare i tuoi conti e l'attività creditizia più attentamente nelle prossime settimane. I dipendenti dovrebbero prestare attenzione a richieste insolite di accesso o di reimpostazione delle credenziali, poiché il punto di intrusione dichiarato ha coinvolto una piattaforma di supporto IT di terze parti – un promemoria del fatto che l'accesso alla catena di fornitura rimane uno dei modi più comuni con cui gli aggressori raggiungono organizzazioni altrimenti ben difese.
In conclusione
La rivendicazione di ShinyHunters contro Ernst & Young è abbastanza seria da essere presa sul serio, ma non è ancora una violazione confermata. Lo schema che emerge dagli altri presunti obiettivi, dalla diagnostica sanitaria alle aziende di distribuzione e servizi finanziari, mostra un gruppo che fa affidamento sulla rivendicazione stessa tanto quanto sui dati che la sostengono. Considera questo come un invito a rivedere la tua esposizione e a rafforzare le abitudini di sicurezza di base ora, piuttosto che aspettare una conferma che potrebbe arrivare o meno secondo le tempistiche del gruppo. Mantenersi informati, seguire le comunicazioni ufficiali di EY ed essere scettici verso i messaggi non richiesti che fanno riferimento a questo incidente sono i passi più concreti da compiere mentre la situazione si evolve.
