ShinyHunters reivindica ataque à Ernst & Young e ameaça vazar dados fiscais sensíveis
O grupo de extorsão ShinyHunters afirma ter acessado, entre março e abril de 2026, uma plataforma de suporte terceirizada usada pela Ernst & Young, roubando documentos com nomes, endereços, números de seguro social, dados bancários e de cartão de clientes. O grupo ameaça publicar o material no seu site de vazamentos caso a EY não inicie negociação até 31 de julho. A empresa já notificou os afetados e ofereceu monitoramento de identidade por 24 meses.
A Ernst & Young confirmou que atores de ameaça tiveram acesso não autorizado a uma plataforma de tickets de suporte de terceiros entre 28 de março e 12 de abril de 2026, período em que documentos anexados aos chamados foram baixados antes que a atividade anômala fosse detectada. O ShinyHunters, grupo já ligado a extorsões contra DentaQuest, 7-Eleven, Medtronic e a diversas vítimas de campanhas contra ambientes Oracle PeopleSoft e Salesforce, reivindicou a autoria e colocou a EY em seu site de leak no Tor, com prazo até 31 de julho para negociação.
O padrão de ataque é revelador: em vez de mirar diretamente a infraestrutura corporativa da EY, os invasores exploraram o elo mais fraco da cadeia — um fornecedor de plataforma de suporte ao cliente. Anexos de tickets costumam conter documentos sensíveis enviados por clientes ou funcionários sem controles adicionais de criptografia, tornando esse tipo de sistema um alvo de alto retorno e baixo custo de invasão para grupos de extorsão que hoje operam mais como corretores de dados do que como desenvolvedores de malware.
O que torna esse vazamento especialmente perigoso é a combinação dos dados expostos: nome, endereço, número de seguro social, conta bancária e cartão de pagamento formam o conjunto completo necessário para abertura de contas fraudulentas, contratação de empréstimos em nome da vítima e, no contexto americano, declarações de imposto de renda fraudulentas usando o SSN roubado — fraude que costuma pipocar justamente nos meses que antecedem a temporada fiscal.
Para quem foi notificado, o mais eficaz é acionar o congelamento de crédito (credit freeze) junto aos birôs, monitorar de perto extratos bancários e qualquer atividade de abertura de crédito, e desconfiar de contatos não solicitados que citem informações supostamente vindas da EY como forma de gerar confiança em golpes de phishing subsequentes. Do lado das empresas, o episódio reforça a necessidade de auditar o acesso de fornecedores terceirizados a sistemas de suporte e de tratar anexos de tickets com o mesmo rigor de criptografia aplicado a bancos de dados de produção.