Detalhes do incidente e escopo do vazamento
O grupo de extorsão notório ShinyHunters assumiu publicamente a responsabilidade pelo vazamento de dados da Ernst & Young (EY), alegando ter roubado credenciais de funcionários e arquivos sensíveis através de um comprometimento na cadeia de suprimentos de uma plataforma de suporte de TI de terceiros.
A alegação foi postada no site de vazamento do grupo na dark web com um prazo de "aviso final" de 31 de julho de 2026, ameaçando liberar todos os dados e arquivos roubados se a EY não negociar antes do prazo. A EY divulgou o incidente no início deste mês após detectar atividade anômala em 23 de abril de 2026, dentro de uma plataforma de gerenciamento de serviços de TI usada por funcionários internos para apoiar o trabalho de clientes relacionados a impostos.
Tática de extorsão e cronograma
Até esta semana, nenhum ator de ameaça havia reivindicado o ataque, e a EY não havia divulgado como os intrusos invadiram a plataforma de terceiros. Isso mudou quando o ShinyHunters listou a EY em seu site de vazamento ao lado de outras novas vítimas, incluindo RingCentral e Brinks Home, afirmando que a intrusão originou-se de um ataque à cadeia de suprimentos que rendeu credenciais para os sistemas internos da EY.
A nota do site de vazamento do grupo, atualizada em 27 de julho de 2026, alerta: "Este é um aviso final para entrar em contato até 31 de julho de 2026 antes que vazemos junto com vários problemas (digitais) em andamento" se a EY falhar em responder às suas tentativas de contato.
Impacto e dados expostos
A investigação revelou que um terceiro não autorizado teve acesso à plataforma de 28 de março a 12 de abril de 2026, baixando documentos vinculados a numerosos clientes da EY durante aquela janela de aproximadamente duas semanas. Os tickets de suporte comprometidos frequentemente continham documentos fiscais de clientes anexados, expondo nomes, endereços, números de segurança social, números de contas financeiras, detalhes de cartões de crédito e débito e outros dados usados para preparar declarações de impostos.
A EY enviou cartas de notificação de violação aos reguladores, incluindo os Procuradores-Gerais da Califórnia e do Texas, confirmando um piso de pelo menos 1.366 residentes afetados em vários estados dos EUA, embora a base de clientes global da firma sugira que o número real seja significativamente maior.
Contexto do grupo ShinyHunters
Esta tática espelha o playbook estabelecido do ShinyHunters visto em campanhas recentes contra Instructure, Charter Communications e McGraw Hill, onde o grupo explorou plataformas SaaS, credenciais SSO e ataques de vishing para exfiltrar grandes volumes de dados antes de exigir resgate.
O ShinyHunters emergiu como uma das operações de extorsão mais prolíficas de 2026, executando um site de vazamento dedicado e explorando frequentemente falhas de terceiros e cadeia de suprimentos em vez de intrusões diretas na rede. Pesquisadores de segurança observam que o grupo frequentemente se sobrepõe ao coletivo "Scattered Lapsus$ Hunters", que também reivindicou ataques em empresas como Abbott Laboratories.
Recomendações para CISOs e equipes de segurança
Como medida de mitigação, as organizações devem revisar seus controles de acesso de terceiros e implementar monitoramento contínuo de atividades anômalas em plataformas de suporte de TI. A segmentação de rede e a aplicação do princípio do menor privilégio são essenciais para limitar o impacto de um comprometimento na cadeia de suprimentos.
A verificação de credenciais comprometidas e a implementação de autenticação multifator (MFA) forte em todos os sistemas críticos devem ser priorizadas. Além disso, a revisão de políticas de retenção de dados e a criptografia de dados sensíveis em repouso podem reduzir o valor dos dados roubados para os atacantes.
Implicações regulatórias e conformidade
O incidente destaca a importância da conformidade com regulamentações de proteção de dados, como a LGPD no Brasil e o GDPR na Europa. As empresas devem estar preparadas para notificar autoridades e indivíduos afetados dentro dos prazos legais, mesmo que o vazamento tenha ocorrido através de um terceiro.
A responsabilidade pela proteção de dados não é transferível para fornecedores de terceiros. As organizações devem garantir que seus contratos incluam cláusulas de segurança robustas e direitos de auditoria para mitigar riscos de cadeia de suprimentos.
Conclusão e lições para o setor
O ataque à EY serve como um lembrete de que a segurança da informação deve abranger toda a cadeia de suprimentos, não apenas os sistemas internos. A dependência de plataformas de terceiros exige uma avaliação rigorosa de riscos e monitoramento contínuo.
Profissionais de segurança devem considerar a adoção de frameworks de segurança de cadeia de suprimentos, como o NIST CSF, para identificar e mitigar vulnerabilidades em parceiros e fornecedores. A colaboração e o compartilhamento de inteligência de ameaças são fundamentais para a defesa coletiva contra grupos de extorsão sofisticados.