ShinyHunters revendique la fuite EY via une supply chain attack

EY confirme la brèche : une plateforme de support tierce compromise depuis le printemps

Ernst & Young (EY), l'un des quatre plus grands cabinets d'audit et de conseil financier au monde — les célèbres Big Four —, a divulgué une violation de données impliquant une plateforme tierce de gestion de services IT qu'il utilise pour traiter des tickets de support liés à des travaux fiscaux pour ses clients. L'incident a été formellement confirmé par EY dans une notification adressée aux personnes concernées, conformément aux obligations légales américaines de notification de brèche de données imposées par de nombreux États.

Selon les informations divulguées par le cabinet, un acteur non autorisé a accédé à la plateforme tierce à partir du 28 mars 2026 et a procédé à l'exfiltration de documents jusqu'au 12 avril 2026. La compromission n'a été détectée que le 23 avril 2026, laissant aux attaquants une fenêtre d'exposition de quinze jours. Durant cette période, les fichiers exfiltrés comprenaient des noms, adresses postales, numéros de sécurité sociale et informations financières de clients d'EY impliqués dans des démarches fiscales. La nature de ces données — parmi les plus sensibles qui soient en matière d'usurpation d'identité et de fraude fiscale — amplifie considérablement le risque pour les personnes concernées.

EY a indiqué avoir sécurisé ses systèmes dès la détection de l'incident, supprimé les accès non autorisés et notifié les autorités fédérales américaines chargées de l'application de la loi. Le cabinet propose aux personnes affectées 24 mois de surveillance d'identité et de services de restauration via Experian, une réponse standard dans le cadre des violations de données aux États-Unis mais qui ne couvre pas l'ensemble des risques découlant de l'exposition de données fiscales sur le long terme.

L'affaire prend une dimension nouvelle avec l'entrée en scène de ShinyHunters, groupe d'extorsion bien connu de la communauté cybersécurité mondiale. Le groupe a ajouté Ernst & Young à sa liste de victimes sur son data leak site, revendiquant la responsabilité de l'attaque et fixant un ultimatum : EY doit contacter ShinyHunters avant le 31 juillet 2026, faute de quoi les données exfiltrées seront publiées intégralement. À ce stade, EY n'a pas confirmé publiquement que ShinyHunters est à l'origine de l'attaque, et des médias spécialisés comme BleepingComputer n'ont pas pu vérifier de manière indépendante les affirmations du groupe.

La méthode d'accès revendiquée par ShinyHunters est particulièrement préoccupante : le groupe affirme avoir conduit une attaque supply chain, obtenu des identifiants EY légitimes via ce vecteur, puis utilisé ces credentials pour accéder aux environnements Jira, GitHub et Azure d'Ernst & Young. Si ces affirmations sont exactes, la compromission dépasse largement la seule plateforme de support tierce et implique une présence potentielle dans des outils de gestion de projets, des dépôts de code source et une infrastructure cloud critique. L'accès à des dépôts GitHub et à des environnements Azure d'un cabinet comme EY ouvrirait théoriquement l'accès à des données clients encore plus larges, à des outils de développement propriétaires et à des configurations d'infrastructure sensibles.

Les mécanismes précis de l'attaque supply chain évoquée par ShinyHunters n'ont pas encore été entièrement divulgués publiquement. Les attaques supply chain dans ce contexte désignent généralement la compromission d'un fournisseur ou prestataire tiers dont les accès à l'environnement cible sont ensuite détournés. La plateforme tierce de gestion de tickets de support — dont le nom n'a pas été rendu public — constitue probablement le vecteur initial, le groupe ayant ensuite pivoté vers des environnements plus sensibles grâce aux credentials collectés lors de la compromission initiale.

Le timing est critique : l'ultimatum du 31 juillet 2026 tombe dans les prochains jours. Si EY ne négocie pas et que ShinyHunters met ses menaces à exécution, la publication des données exposerait des milliers de clients du cabinet — potentiellement des dizaines de milliers — à des risques directs d'usurpation d'identité, de fraude fiscale et de campagnes de phishing hautement ciblé. Des cabinets d'avocats américains, dont Edelson Lechtzin LLP, ont d'ores et déjà annoncé des enquêtes préliminaires en vue d'éventuelles actions judiciaires collectives (class action) au nom des victimes affectées.

EY n'est pas la première grande organisation professionnelle à subir ce type d'attaque en 2026. La tendance des cybercriminels à cibler les grands cabinets d'audit, les prestataires de confiance et les intermédiaires professionnels reflète une stratégie délibérée et très efficace : ces organisations détiennent des données hautement sensibles de nombreux clients dans un cadre de confiance élevée, leur surface d'attaque inclut de nombreux prestataires tiers, et leur exposition réputationnelle maximise la pression d'extorsion.

ShinyHunters : montée en puissance d'un groupe d'extorsion structuré et résilient

ShinyHunters n'est pas un acteur nouveau sur la scène cybercriminelle internationale. Le groupe s'est fait connaître dès 2020 en revendiquant la compromission de dizaines d'entreprises, dont Microsoft, Nintendo et Tokopedia, vendant des millions d'identifiants sur des forums clandestins. Depuis lors, le groupe a considérablement évolué dans ses méthodes et ses cibles : il opère désormais principalement dans le registre de l'extorsion de données plutôt que de la simple vente sur des marchés souterrains, ciblant préférentiellement les grandes entreprises et organisations à forte valeur de données confidentielles.

En 2024, ShinyHunters avait défrayé la chronique avec certains des plus grands vols de données de l'histoire moderne de la cybersécurité : 560 millions d'enregistrements Ticketmaster, 30 millions de dossiers Santander Bank, ainsi que des données AT&T affectant potentiellement 110 millions de clients américains. Ces opérations à grande échelle ont établi ShinyHunters comme l'un des groupes d'extorsion les plus redoutables au monde, démontrant une capacité à cibler des organisations de rang mondial et à maintenir une pression suffisante pour obtenir des paiements ou des concessions.

La résilience opérationnelle du groupe est remarquable et constitue l'un des défis majeurs pour les forces de l'ordre. Malgré l'arrestation de plusieurs membres présumés — dont un ressortissant français condamné aux États-Unis en 2023 — ShinyHunters continue d'opérer sans discontinuité notable. La structure décentralisée du groupe, fonctionnant via des canaux de communication chiffrés et des opérateurs géographiquement dispersés à travers plusieurs juridictions, lui confère une résistance aux opérations de démantèlement supérieure à celle de nombreux groupes cybercriminels plus centralisés.

La revendication contre EY illustre une évolution tactique significative : plutôt que de se limiter à des entreprises disposant de bases de données clients massives au sens quantitatif, ShinyHunters s'attaque désormais à des organisations dont la valeur des données repose sur leur confidentialité intrinsèque — informations fiscales, données d'audit, secrets financiers d'entreprises cotées. Cette stratégie maximise la pression d'extorsion car les victimes sont particulièrement sensibles aux risques réputationnels et réglementaires associés à la divulgation publique de ce type de données, indépendamment de leur volume.

Ce qu'il faut retenir

• La brèche EY démontre que les attaques supply chain ciblant des prestataires de support IT tiers restent un vecteur d'entrée redoutable pour compromettre des organisations de premier plan disposant de bonnes défenses en périmètre direct.
• L'ultimatum ShinyHunters expire le 31 juillet 2026 : la divulgation publique de données fiscales et financières de clients EY pourrait survenir dans les prochaines 72 heures si EY ne prend pas contact.
• Toute organisation utilisant des plateformes de ticketing ou de support IT tierces doit auditer immédiatement les permissions accordées à ces outils sur ses environnements Jira, GitHub et cloud, et activer la journalisation des accès API.