O que o ShinyHunters está alegando sobre a Ernst & Young
O grupo de extorsão ShinyHunters adicionou a Ernst & Young, uma das maiores empresas de serviços profissionais do mundo, à sua lista de supostas vítimas. De acordo com a alegação, o grupo afirma ter obtido acesso por meio de um comprometimento da cadeia de suprimentos envolvendo uma plataforma de suporte de TI de terceiros, usando credenciais roubadas para acessar sistemas internos, incluindo uma instância Jira, e, por fim, extraindo dados de declarações de impostos. O ShinyHunters teria definido o prazo de 31 de julho para a EY responder, ameaçando publicar o material roubado caso a empresa não entre em contato.
Até o momento, esta é uma alegação de ransomware do ShinyHunters contra a Ernst & Young, não uma violação confirmada. Nenhum arquivo de amostra, banco de dados vazado ou prova independentemente verificada de registros fiscais roubados surgiu publicamente. A alegação atualmente se baseia inteiramente nas declarações do próprio ShinyHunters, publicadas em seu site de vazamento e circuladas em canais de pesquisadores de segurança e nas redes sociais.
Por que ainda não há evidências verificadas de um vazamento
Grupos de ransomware e extorsão rotineiramente publicam alegações muito antes, ou às vezes completamente sem, produzir provas utilizáveis. Uma listagem em um site de vazamento não é o mesmo que uma violação de dados confirmada. A verificação normalmente exige que a empresa reconheça o incidente, que pesquisadores de segurança correspondam amostras vazadas a registros reais ou que os invasores liberem dados suficientes para autenticar o roubo.
No caso da Ernst & Young, os detalhes que estão circulando – um ângulo de cadeia de suprimentos por meio de um fornecedor de suporte de TI, roubo de credenciais e acesso ao Jira – são consistentes com táticas que o ShinyHunters já usou antes. Mas a consistência com comportamentos passados não é confirmação. Até que a EY emita uma declaração formal ou dados verificáveis apareçam, a alegação deve ser tratada como não comprovada. Essa distinção importa, porque o pânico prematuro ou a rejeição precipitada trazem riscos tanto para clientes quanto para funcionários que podem ser afetados de qualquer forma.
Como grupos de ransomware usam alegações não verificadas como forma de pressão
É aqui que a situação da Ernst & Young se encaixa em um manual mais amplo e cada vez mais familiar. O ShinyHunters construiu um padrão de nomear organizações grandes e reconhecíveis e, em seguida, usar o peso reputacional desse nome para pressionar por uma resposta, independentemente de a violação subjacente ser ou não totalmente comprovada. Uma empresa do tamanho da EY enfrenta escrutínio imediato no momento em que seu nome aparece em um site de vazamento, mesmo que as alegações técnicas por trás disso permaneçam não verificadas.
O grupo seguiu uma abordagem semelhante com outros alvos. Alegou uma violação da Exact Sciences, a empresa de diagnósticos por trás do teste Cologuard, colocando dados sensíveis de saúde no centro da tentativa de extorsão. Também reivindicou a responsabilidade por uma violação na Baker Distributing, uma grande distribuidora de HVAC e refrigeração, e alegou o roubo de registros financeiros vinculados à Addi.com, uma empresa colombiana de serviços financeiros. Em cada caso, o anúncio em si, não necessariamente provas concretas, fez a maior parte do trabalho de pressão. Um incidente separado envolvendo a Cushman & Wakefield mostra como vários grupos de extorsão podem reivindicar vítimas sobrepostas, adicionando mais confusão para quem tenta avaliar o que realmente aconteceu.
A estratégia é direta: nomear uma marca confiável e de alto perfil gera cobertura da mídia e ansiedade nos clientes rapidamente, muitas vezes mais rápido do que a empresa sob escrutínio consegue investigar e responder. Essa assimetria é a alavanca de pressão.
O que isso significa para você
Se você é cliente, fornecedor ou funcionário da Ernst & Young, a atitude responsável neste momento é cautela, não esperar por confirmação. Os grupos de ransomware se beneficiam quando as pessoas assumem que a ausência de notícias significa ausência de risco. Dada a natureza da alegação – dados de declarações de impostos supostamente obtidos por meio de uma rota de cadeia de suprimentos –, qualquer pessoa com um relacionamento financeiro ou profissional com a EY deve presumir que alguma exposição é possível até que a empresa esclareça a situação.
Medidas práticas fazem sentido independentemente de como essa alegação específica de ransomware do ShinyHunters contra a Ernst & Young se resolva. Fique atento a tentativas de phishing que façam referência à EY, declarações de impostos ou relacionamentos de auditoria, pois os invasores costumam usar a publicidade em torno de uma suposta violação para criar golpes de acompanhamento convincentes. Se você compartilhou documentos financeiros ou fiscais sensíveis com a EY, considere monitorar suas contas e atividade de crédito mais de perto nas próximas semanas. Os funcionários devem estar alertas para solicitações incomuns de login ou redefinição de credenciais, já que o ponto de intrusão alegado envolveu uma plataforma de suporte de TI de terceiros – um lembrete de que o acesso à cadeia de suprimentos continua sendo uma das formas mais comuns de os invasores alcançarem organizações que, de outra forma, estariam bem defendidas.
O resultado final
A alegação do ShinyHunters contra a Ernst & Young é séria o suficiente para ser levada a sério, mas ainda não é uma violação confirmada. O padrão entre seus outros supostos alvos, de diagnósticos de saúde a empresas de distribuição e serviços financeiros, mostra um grupo que depende tanto da alegação em si quanto dos dados por trás dela. Trate isso como um incentivo para revisar sua própria exposição e reforçar hábitos básicos de segurança agora, em vez de esperar por uma confirmação que pode ou não vir no prazo do próprio grupo. Manter-se informado, acompanhar as comunicações oficiais da EY e ser cético em relação a mensagens não solicitadas que façam referência a este incidente são as medidas mais práticas disponíveis enquanto a situação se desenvolve.
