Hva ShinyHunters hevder om Ernst & Young
Utpressingsgruppen ShinyHunters har lagt til Ernst & Young, et av verdens største profesjonelle tjenesteselskaper, på listen over påståtte ofre. Ifølge kravet sier gruppen at de fikk tilgang via et kompromiss i leverandørkjeden som involverte en tredjeparts IT-støtteplattform, brukte stjålne legitimasjonsopplysninger for å nå interne systemer, inkludert en Jira-instans, og til slutt hentet ut skatteopplysninger. ShinyHunters har angivelig satt en frist til 31. juli for at EY skal svare, og truer med å publisere det stjålne materialet dersom selskapet ikke tar kontakt.
Per nå er dette et løsepengekrav fra ShinyHunters mot Ernst & Young, ikke et bekreftet inngrep. Ingen prøvefiler, lekkede databaser eller uavhengig bekreftede bevis på stjålne skatteopplysninger har dukket opp offentlig. Kravet hviler foreløpig helt på ShinyHunters' egne uttalelser, lagt ut på deres lekkside og spredt via kanaler for sikkerhetsforskere og sosiale medier.
Hvorfor det ennå ikke finnes bekreftede bevis for en lekkasje
Løsepenge- og utpressingsgrupper legger rutinemessig ut krav i god tid før, eller noen ganger helt uten, å fremlegge brukbare bevis. En oppføring på en lekkside er ikke det samme som et bekreftet datainnbrudd. Verifikasjon krever vanligvis enten at selskapet anerkjenner en hendelse, at sikkerhetsforskere matcher lekkede prøver med ekte opplysninger, eller at angriperne slipper nok data til å autentisere tyveriet.
Når det gjelder Ernst & Young-saken, er detaljene som sirkulerer – en leverandørkjedevei via en IT-støtteleverandør, legitimasjonstyveri og Jira-tilgang – i tråd med taktikker ShinyHunters har brukt før. Men samsvar med tidligere atferd er ingen bekreftelse. Inntil EY kommer med en formell uttalelse eller verifiserbare data dukker opp, bør kravet behandles som udokumentert. Denne forskjellen er viktig, fordi for tidlig panikk eller for tidlig avvisning begge medfører risiko for kunder og ansatte som kan bli berørt uansett.
Hvordan løsepengegrupper bruker ubekreftede krav som pressmiddel
Det er her situasjonen med Ernst & Young passer inn i et bredere og stadig mer velkjent mønster. ShinyHunters har bygget et mønster med å navngi store, gjenkjennelige organisasjoner, for deretter å bruke omdømmetyngden til det navnet for å presse frem en respons, uavhengig av om det underliggende inngrepet noen gang blir fullstendig underbygget. Et selskap på størrelse med EY møter umiddelbar gransking i det øyeblikket navnet dukker opp på en lekkside, selv om de tekniske påstandene bak forblir ubekreftede.
Gruppen har fulgt en lignende tilnærming med andre mål. Den hevdet et inngrep mot Exact Sciences, diagnoseselskapet bak Cologuard-testen, og satte sensitive helsedata i sentrum for utpressingsforsøket. Den tok også på seg ansvaret for et inngrep hos Baker Distributing, en stor distributør av VVS- og kjøleutstyr, og påsto tyveri av finansielle opplysninger tilknyttet Addi.com, et colombiansk finanstjenesteselskap. I hvert tilfelle var det kunngjøringen i seg selv, ikke nødvendigvis håndfaste bevis, som sto for mesteparten av pressarbeidet. En separat hendelse som involverte Cushman & Wakefield viser hvordan flere utpressingsgrupper kan gjøre krav på overlappende ofre, noe som skaper ytterligere forvirring for alle som prøver å vurdere hva som faktisk skjedde.
Strategien er enkel: Å navngi et pålitelig, høyprofilert merke genererer medieoppmerksomhet og klienturo raskt, ofte raskere enn selskapet under gransking kan undersøke og svare. Denne asymmetrien er pressmiddelet.
Hva dette betyr for deg
Hvis du er kunde, leverandør eller ansatt hos Ernst & Young, er det ansvarlige trekket akkurat nå forsiktighet, ikke å vente på bekreftelse. Løsepengegrupper tjener på at folk antar at ingen nyheter betyr ingen risiko. Gitt kravets art – skatteopplysninger angivelig hentet via en leverandørkjederute – bør alle med et økonomisk eller profesjonelt forhold til EY anta at en viss eksponering er mulig inntil selskapet avklarer situasjonen.
Praktiske skritt gir mening uavhengig av hvordan dette spesifikke ShinyHunters' løsepengekrav mot Ernst & Young løser seg. Vær på utkikk etter phishing-forsøk som refererer til EY, skatteinnleveringer eller revisjonsforhold, siden angripere ofte bruker publisiteten rundt et påstått inngrep til å utforme overbevisende oppfølgingssvindel. Hvis du har delt sensitive økonomiske dokumenter eller skattedokumenter med EY, bør du vurdere å overvåke kontoene dine og kredittaktiviteten nøyere i de kommende ukene. Ansatte bør være oppmerksomme på uvanlige påloggingsforespørsler eller forespørsler om tilbakestilling av legitimasjon, siden det påståtte inngangspunktet involverte en tredjeparts IT-støtteplattform – en påminnelse om at leverandørkjedetilgang fortsatt er en av de vanligste måtene angripere når ellers godt forsvarte organisasjoner på.
Hovedpoenget
ShinyHunters' krav mot Ernst & Young er alvorlig nok til å ta på alvor, men det er ikke et bekreftet inngrep ennå. Mønsteret på tvers av gruppens andre påståtte mål, fra helsediagnostikk til distribusjon og finanstjenesteselskaper, viser en gruppe som stoler like mye på selve kravet som på dataene bak det. Behandle dette som en påminnelse om å gjennomgå din egen eksponering og stramme inn grunnleggende sikkerhetsvaner nå, i stedet for å vente på en bekreftelse som kanskje kommer, eller ikke kommer, på gruppens egen tidslinje. Å holde seg informert, følge med på offisielle kommunikasjoner fra EY og være skeptisk til uønskede meldinger som refererer til denne hendelsen, er de mest praktiske skrittene du kan ta mens situasjonen utvikler seg.
