ShinyHunters bekennt sich zum Datenleck bei Ernst & Young
Die berüchtigte Erpresserbande ShinyHunters hat die Verantwortung für das Datenleck übernommen, das der globale Beratungsriese Ernst & Young Anfang dieses Monats bekannt gab. Die Gruppe droht, die Daten bis zum 31. Juli zu veröffentlichen.
Was ist passiert
Der internationale Prüfungs- und Beratungsriese Ernst & Young (EY) sieht sich nun mit einer öffentlichen Verantwortungsübernahme für sein jüngstes Datenleck durch einen bekannten Akteur der Cyberkriminalität konfrontiert: die Erpresserbande ShinyHunters. ShinyHunters hat EY auf seiner Datenleck-Website hinzugefügt und behauptet, den Angriff selbst durchgeführt zu haben. Die Bande hat gedroht, die angeblich gestohlenen Daten öffentlich zu machen, wenn das Unternehmen sie nicht bis zum 31. Juli 2026 kontaktiert.
Die Ereigniskette begann mit der Kompromittierung eines Drittanbieter-Support-Ticket-Systems, das vom Informationstechnologie (IT)-Personal von EY verwendet wird. In seiner Datenleck-Meldung Anfang dieses Monats gab das Unternehmen an, am 23. April verdächtige Aktivitäten in seinen Systemen festgestellt zu haben. Nachfolgende Untersuchungen ergaben, dass Angreifer zwischen dem 28. März und dem 12. April auf die Plattform zugegriffen und dabei mehrere Dokumente heruntergeladen hatten. Nach der Entdeckung des Lecks gab EY bekannt, seine Systeme gesichert, den unbefugten Zugriff entfernt und die Strafverfolgungsbehörden des Bundes informiert zu haben.
Zum Zeitpunkt der ursprünglichen Offenlegung war die Identität der Angreifer jedoch unbekannt. Keine Ransomware- oder Datenerpressungsgruppe hatte sich zu dem Angriff bekannt. Das Auftauchen von ShinyHunters am 27. Juli hat die Erzählung verändert und enthüllt, dass die potenzielle Motivation hinter dem Einbruch finanzielle Erpressung ist. Die Gruppe fügte EY ihrer Opferliste auf ihrer Darknet-Website hinzu und startete einen Countdown für das Unternehmen. Diese Taktik wird häufig von Erpressergruppen angewendet, um Opfer zur Zahlung eines Lösegelds zu zwingen.
Welche Daten wurden gestohlen
Im Zentrum des Datenlecks steht eine Support-Plattform, die vom IT-Personal von EY genutzt wird, um Teams bei steuerbezogenen Arbeiten für Kunden zu unterstützen. Laut der offiziellen Erklärung des Unternehmens könnten über diese Plattform eingereichte Support-Tickets Dokumente mit Steuerinformationen von Kunden enthalten. Dies weckt Bedenken, dass die durchgesickerten Daten sehr sensibel sein könnten.
In der Mitteilung von EY hieß es, dass die gestohlenen Dokumente persönliche und finanzielle Informationen enthielten, die in Steuererklärungen enthalten sind oder zu deren Erstellung verwendet werden. Solche Dokumente enthalten typischerweise kritische Informationen wie Namen, Adressen, Sozialversicherungsnummern, Einkommensdetails und andere sensible Finanzdaten. EY hat jedoch keine genauen Angaben zu den Arten der durchgesickerten Informationen oder der Anzahl der vom Leck betroffenen Personen gemacht.
Die ShinyHunters-Bande geht in ihren Behauptungen jedoch einen Schritt weiter. Im Gespräch mit BleepingComputer gaben Mitglieder der Gruppe an, dass sie mehr Daten besitzen, als EY zugegeben hat. Sie behaupten, nicht nur Steuerinformationen aus Support-Tickets gestohlen zu haben, sondern auch Daten aus den Jira-, GitHub- und Azure-Umgebungen des Unternehmens. Sollte dies zutreffen, würde dies bedeuten, dass der Umfang des Lecks weitaus größer sein könnte als ursprünglich gemeldet. Diese zusätzlichen Datensätze, die Jira-Projektmanagementdaten, GitHub-Quellcodes und Informationen zur Azure-Cloud-Infrastruktur umfassen könnten, stellen ernsthafte operative und reputative Risiken für das Unternehmen dar. Es ist jedoch wichtig zu beachten, dass dies Behauptungen von ShinyHunters sind, die noch nicht von Ernst & Young oder unabhängigen Quellen überprüft wurden.
Wie geschah der Angriff
Der wichtigste Hinweis darauf, wie der Angriff durchgeführt wurde, stammt aus der Behauptung von ShinyHunters über einen „Lieferkettenangriff“. Laut der Gruppe griffen sie nicht direkt die Systeme von Ernst & Young an, sondern zielten auf einen weniger sicheren Drittanbieter ab, der Dienstleistungen für das Unternehmen erbringt. In diesem Fall war das Ziel eine ungenannte Plattform für das Management von Technologiedienstleistungen, die von den IT-Mitarbeitern von EY genutzt wird.
ShinyHunters behauptet, diese Drittanbieter-Plattform gehackt zu haben, um Administrator- oder Benutzeranmeldeinformationen für die Systeme von EY zu erhalten. Die Angreifer nutzten dann diese gestohlenen Anmeldeinformationen, um in die internen Netzwerke von EY einzudringen. Diese Methode ist in den letzten Jahren zu einer immer beliebteren Taktik unter Cyberangreifern geworden. Da es schwierig ist, große, gut geschützte Unternehmen direkt anzugreifen, zielen Angreifer oft auf deren kleinere Lieferanten ab, die möglicherweise schwächere Cybersicherheitsmaßnahmen haben. Sobald das System eines Lieferanten kompromittiert ist, wird es viel einfacher, über dieses System auf das Hauptziel zuzugreifen.
Obwohl EY bestätigt hat, dass der Angriff über ein Drittanbieter-Support-Ticket-System erfolgte, hat das Unternehmen den Namen dieses Systems nicht öffentlich bekannt gegeben. Die Behauptung von ShinyHunters, auf die Umgebungen von Jira, GitHub und Azure zugegriffen zu haben, könnte ebenfalls durch die bei diesem Lieferkettenangriff erbeuteten Anmeldeinformationen ermöglicht worden sein. Weder EY noch die Angreifer haben jedoch weitere Informationen über die genauen technischen Details des Angriffs und die ausgenutzten Schwachstellen preisgegeben.
Wer ist betroffen
Direkt von diesem Datenleck betroffen sind die Kunden von Ernst & Young, die Steuerberatungsdienste in Anspruch nehmen. Insbesondere sind Kunden gefährdet, deren steuerbezogene Dokumente oder Informationen auf die kompromittierte Drittanbieter-Support-Plattform hochgeladen oder über diese verarbeitet wurden. Das Unternehmen hat angekündigt, betroffene Kunden zu benachrichtigen, es wurde jedoch keine offizielle Angabe zur Gesamtzahl der betroffenen Kunden oder Einzelpersonen gemacht.
Die Tatsache, dass die durchgesickerten Daten persönliche und finanzielle Informationen im Zusammenhang mit Steuererklärungen enthalten, setzt die betroffenen Personen ernsthaften Risiken wie Identitätsdiebstahl, Betrug und gezielten Phishing-Angriffen aus. Die gestohlenen Informationen könnten von Kriminellen verwendet werden, um betrügerische Kredite zu beantragen, Bankkonten zu übernehmen oder im Namen der Opfer falsche Steuerrückerstattungsanträge zu stellen.
Was Sie tun können
Ernst & Young hat angekündigt, den vom Leck betroffenen Kunden 24 Monate lang Dienstleistungen zur Identitätsüberwachung und -wiederherstellung über Experian anzubieten. Wenn Sie eine entsprechende Benachrichtigung von EY erhalten haben, sollten Sie diesen Dienst umgehend aktivieren.
Hier sind einige zusätzliche Maßnahmen, die Sie ergreifen können:
- Überprüfen Sie Ihre Kreditauskünfte: Überprüfen Sie regelmäßig Ihre Kreditauskünfte, um nach verdächtigen Konten oder Krediten zu suchen, die in Ihrem Namen eröffnet wurden. Wenn Sie ungewöhnliche Aktivitäten feststellen, wenden Sie sich sofort an das betreffende Finanzinstitut.
- Betrugswarnungen und Kreditsperren: Sie können sich an Kreditauskunfteien wenden, um eine Betrugswarnung zu Ihren Konten hinzuzufügen oder, als stärkere Maßnahme, Ihre Kreditauskunft zu sperren. Eine Kreditsperre verhindert, dass jemand ein neues Kreditkonto in Ihrem Namen eröffnet, bis Sie die Sperre aufheben.
- Seien Sie vorsichtig bei Phishing-Angriffen: Angreifer könnten die gestohlenen Informationen nutzen, um Ihnen gefälschte E-Mails zu senden, die scheinbar von EY oder einer offiziellen Institution stammen. In diesen E-Mails könnten Sie um zusätzliche Informationen gebeten oder zum Klicken auf einen bösartigen Link aufgefordert werden. Seien Sie immer vorsichtig bei verdächtigen E-Mails.
- Kontosicherheit: Ändern Sie die Passwörter für Ihre Finanz- und E-Mail-Konten in starke, einzigartige Passwörter. Aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA), wo immer dies möglich ist.
Was das Unternehmen sagt
In seiner ersten Erklärung zu dem Vorfall betonte Ernst & Young, die Situation unter Kontrolle gebracht und die notwendigen Schritte unternommen zu haben. Das Unternehmen gab an, dass eine „Drittanbieter-Plattform für das Management von Informationstechnologiediensten“ angegriffen wurde und diese Plattform dem IT-Personal half, Teams bei steuerbezogenen Arbeiten zu unterstützen. Es bestätigte, dass die Angreifer zwischen dem 28. März und dem 12. April auf die Plattform zugegriffen und Dokumente heruntergeladen haben.
EY fügte hinzu, dass sie den unbefugten Zugriff beseitigt, ihre Systeme gesichert und die Bundesstrafverfolgungsbehörden informiert hätten. Darüber hinaus wird den betroffenen Kunden ein 24-monatiger Identitätsüberwachungsdienst angeboten.
Das Unternehmen hat jedoch noch nicht auf die Fragen von BleepingComputer zu den Behauptungen von ShinyHunters geantwortet. EY hat nicht bestätigt, ob ShinyHunters hinter dem Angriff steckt oder ob sie eine Lösegeldforderung von der Gruppe erhalten haben. Darüber hinaus bleiben wichtige Details wie der Name des kompromittierten Support-Systems und die Gesamtzahl der betroffenen Personen unklar.
Quelle
Dieser Inhalt wurde mithilfe künstlicher Intelligenz über unsere Argus Flow-Anwendung erstellt. Wir arbeiten kontinuierlich an der Verbesserung von Argus Flow; sollten Sie auf Übersetzungsfehler, falsche Quellen oder unbestätigte Informationen stoßen, können Sie uns dies über die Schaltfläche unten melden. Wir danken Ihnen für Ihr Feedback.