Grupo Shinyhunters invade sistema parceiro e ameaça expor dados da Ernst & Young

Ameaça cibernética contra a Ernst & Young

O grupo cibercriminoso ShinyHunters assumiu a autoria de um ataque digital contra a Ernst & Young (EY), uma das maiores empresas de consultoria e auditoria do mundo. Os invasores ameaçam publicar uma vasta quantidade de dados confidenciais sequestrados caso a companhia não estabeleça contato até o dia 31 de julho. A organização criminosa, conhecida por realizar ataques em larga escala, utilizou sua página na Dark Web para pressionar a corporação.

A mensagem publicada pelos hackers é direta: “Sim, fomos nós. Agora você vem falar com a gente”. O coletivo afirma ter tentado contato prévio com a empresa e reitera que, sem uma negociação, o vazamento total de arquivos e documentos será inevitável. Até o momento, a EY mantém uma postura cautelosa, limitando-se a declarar que identificou e revogou um acesso não autorizado em seus sistemas no mês de abril.

Brecha em sistemas de terceiros e cronologia

De acordo com um relatório técnico emitido pela Ernst & Young em 13 de julho, a origem da invasão foi uma falha de segurança em um sistema de terceiros. Embora a empresa não tenha revelado o nome da companhia parceira afetada, o documento detalha que a equipe de segurança interna detectou atividades suspeitas em 23 de abril de 2026. Investigações posteriores revelaram que os invasores mantiveram acesso ao ambiente terceirizado entre 28 de março e 12 de abril de 2026.

O nível de preocupação é elevado devido à natureza sensível das informações comprometidas. O conjunto de dados inclui nomes, endereços, números de Previdência Social, códigos de contas financeiras e detalhes de cartões de pagamento. A EY informou que, ao detectar o incidente, revogou permissões e acionou as autoridades competentes para lidar com a situação.

Alegações do grupo hacker e medidas de proteção

Enquanto a Ernst & Young foca na contenção, o ShinyHunters alega ter obtido credenciais de acesso a sistemas críticos, incluindo Jira, GitHub e Microsoft Azure. O grupo, contudo, não apresentou provas detalhadas sobre a extensão do acesso a essas plataformas ou sobre a totalidade dos arquivos sequestrados. A empresa não confirmou a veracidade dessas alegações adicionais.

Como medida de mitigação para os clientes impactados, a companhia está oferecendo 24 meses de serviços de monitoramento e restauração de identidade por meio da Experian. A lista exata de clientes afetados permanece sob sigilo, o que gera incerteza dado o extenso portfólio da EY, que atende desde grandes corporações até órgãos governamentais.