Ernst & Young hatte den Vorfall in diesem Monat öffentlich gemacht. In der Benachrichtigung zum Datenleck erklärte das Unternehmen, eine externe Plattform für das IT-Service-Management sei kompromittiert worden. Diese werde von EY genutzt, damit IT-Personal interne Teams unterstützen kann, die für Kunden steuerbezogene Arbeiten erledigen.
Laut EY konnten über die Plattform eingereichte Support-Tickets Dokumente mit Steuerinformationen von Kunden enthalten. Das Unternehmen teilte weiter mit, die entwendeten Unterlagen hätten personenbezogene und finanzielle Informationen umfasst, die in Steuererklärungen enthalten waren oder zu deren Erstellung verwendet wurden.
Zeitlich ordnete EY den Vorfall so ein: Ungewöhnliche Aktivitäten seien am 23. April entdeckt worden. Bei der Untersuchung habe sich ergeben, dass der Angreifer zwischen dem 28. März und dem 12. April auf die Plattform zugriff und mehrere Dokumente herunterlud.
Offen gelassen hat Ernst & Young bislang mehrere zentrale Punkte. Das Unternehmen nannte weder den Namen des kompromittierten Support-Systems noch die konkret betroffenen Datentypen oder die Zahl der Betroffenen.
Zum Zeitpunkt der ersten Offenlegung hatte keine Ransomware- oder Datenerpressergruppe die Verantwortung für den Angriff übernommen. Inzwischen hat ShinyHunters Ernst & Young auf seiner Leak-Seite aufgeführt und damit öffentlich beansprucht, den Vorfall verursacht zu haben. Die Gruppe drohte dort laut Bericht, die angeblich gestohlenen Daten zu veröffentlichen, falls das Unternehmen sie nicht bis zum 31. Juli 2026 kontaktiert.
Gegenüber BleepingComputer erklärte ShinyHunters, EY-Zugangsdaten seien über einen Supply-Chain-Angriff erlangt und anschließend für den Einbruch genutzt worden. Mit diesen gestohlenen Zugangsdaten seien angeblich die Umgebungen Jira, GitHub und Azure von Ernst & Young kompromittiert worden.
Welche Drittpartei dabei kompromittiert worden sein soll, legte die Gruppe nicht offen. Auch zu den konkret entwendeten Daten machte ShinyHunters keine Angaben. Nach Darstellung der Angreifer seien jedoch nicht nur die von EY bereits eingeräumten Informationen offengelegt worden, sondern weitere Daten.
BleepingComputer betont, diese Behauptungen der Täter nicht unabhängig verifizieren zu können. Ernst & Young hat ebenfalls nicht bestätigt, dass ShinyHunters hinter dem Angriff steht. BleepingComputer habe das Unternehmen erneut kontaktiert und unter anderem gefragt, ob ShinyHunters verantwortlich sei, ob eine Erpressungsforderung eingegangen sei, welches Support-System betroffen war und wie viele Personen von dem Datenleck erfasst wurden.
Ernst & Young hatte zuvor erklärt, die eigenen Systeme abgesichert, den unbefugten Zugriff entfernt und die Bundesstrafverfolgungsbehörden informiert zu haben. Betroffenen Kunden bietet das Unternehmen zudem für 24 Monate Dienste von Experian zur Überwachung und Wiederherstellung der Identität an.