ShinyHunters réclame une intrusion chez Ernst & Young

Ernst & Young sur le site de fuites de ShinyHunters le 31 juillet 2026

Le groupe d'extorsion ShinyHunters a ajouté Ernst & Young (EY) à son site de publication de données le 31 juillet 2026, réclamant la responsabilité d'une intrusion dans les systèmes du cabinet d'audit et de conseil et menaçant de divulguer les données prétendument dérobées si EY ne prenait pas contact dans le délai imparti. L'information a été rapportée en premier par BleepingComputer, qui suit activement les opérations du groupe depuis plusieurs années.

Ernst & Young est l'un des quatre plus grands cabinets d'audit au monde, avec plus de 400 000 collaborateurs dans plus de 150 pays. Le cabinet fournit des services d'audit, de fiscalité, de conseil stratégique et de transformation numérique à des milliers de grandes entreprises, d'institutions financières et d'organismes gouvernementaux. La nature des données qu'EY traite dans le cadre de ses missions — états financiers, données fiscales, informations sur les transactions, données personnelles des dirigeants — fait d'un tel cabinet une cible de choix pour des groupes d'extorsion cherchant à maximiser la pression exercée sur leurs victimes.

Au moment de la publication de cet article, EY n'avait pas confirmé publiquement l'existence d'un incident de sécurité et n'avait pas répondu aux demandes de commentaire des médias spécialisés. Cette absence de réaction officielle est courante dans les premières heures suivant une revendication d'extorsion, les organisations affectées cherchant d'abord à évaluer l'étendue de la compromission et à consulter leurs équipes juridiques avant toute communication publique.

La revendication contre EY intervient dans un contexte d'intense activité pour ShinyHunters. Le 30 juillet 2026, le même groupe avait revendiqué une intrusion chez Brinks Home, la société américaine de sécurité résidentielle, indiquant avoir pénétré dans ses systèmes le 13 juillet via une attaque de vishing (phishing vocal) ciblant un employé via Microsoft Teams et visant ses identifiants Microsoft Entra. Ce mode opératoire — ciblage des identifiants cloud via ingénierie sociale téléphonique — est devenu une signature reconnaissable de ShinyHunters au cours des derniers mois, comme l'avait également illustré leur attaque contre Abbott Laboratories révélée mi-juillet 2026.

ShinyHunters est un groupe d'extorsion cybercriminelle actif depuis 2020, connu pour avoir revendiqué des violations majeures chez AT&T, Ticketmaster, Santander, Neiman Marcus et des dizaines d'autres organisations. Le groupe opère selon un modèle double extorsion : il exfiltre d'abord des données sensibles, puis réclame une rançon sous peine de publication. Contrairement aux groupes de ransomware qui chiffrent les systèmes, ShinyHunters se concentre exclusivement sur l'exfiltration et la menace de divulgation, sans perturber les opérations de la victime — une approche qui rend la détection plus difficile et le levier de négociation souvent plus efficace pour des organisations soucieuses de leur réputation.

La technique du vishing via Microsoft Teams documentée dans l'attaque Brinks Home mérite une attention particulière. Elle consiste à se faire passer pour le support informatique de l'entreprise cible dans un appel Teams, en usurpant l'identité d'un employé IT légitime, pour convaincre la cible de partager ses identifiants ou d'approuver une demande d'authentification multifacteur (MFA). Microsoft Entra (anciennement Azure Active Directory) étant le système d'identité cloud de référence dans la plupart des grandes organisations, la compromission d'un compte Entra offre généralement un accès très étendu aux ressources cloud, aux emails, aux fichiers SharePoint et aux applications connectées via SSO. La CISA et le FBI avaient publié en 2025 un avertissement conjoint sur l'utilisation croissante de cette technique par plusieurs groupes de menace.

La question de l'étendue réelle de la compromission alléguée chez EY reste entière. Les revendications de ShinyHunters sont historiquement fiables en termes de confirmation ultérieure, bien que le groupe ait parfois surestimé le volume ou la sensibilité des données obtenues. Des vérifications indépendantes par des chercheurs en sécurité permettront dans les prochains jours ou semaines d'établir si les données proposées à la vente ou à la publication correspondent bien à des informations internes d'EY et d'évaluer leur degré de sensibilité. Les clients d'EY, en particulier ceux ayant partagé des données financières sensibles dans le cadre de missions d'audit récentes, devront rester attentifs aux communications officielles du cabinet.

Cette vague d'attaques revendiquées par ShinyHunters — Abbott Labs, Brinks Home et désormais Ernst & Young en l'espace de quelques semaines — suggère soit une période d'activité intensifiée du groupe, soit la publication coordonnée d'intrusions réalisées sur une période plus longue. L'analyse des délais entre la compromission annoncée et la revendication publique dans les cas précédents (par exemple, le vishing Brinks Home du 13 juillet revendiqué le 30 juillet) indique que le groupe laisse généralement plusieurs semaines s'écouler pour laisser à la victime l'opportunité de négocier en privé avant d'exposer publiquement la situation.

Les cabinets d'audit et de conseil, nouvelles cibles privilégiées de l'extorsion cyber

La revendication contre EY illustre une évolution notable dans la stratégie des groupes d'extorsion cybercriminelle : le ciblage délibéré des prestataires de services professionnels qui agrègent les données sensibles de nombreuses organisations clientes. En s'attaquant à un cabinet d'audit plutôt qu'à une entreprise individuelle, un groupe comme ShinyHunters accède potentiellement à un écosystème de données couvrant des dizaines ou des centaines de clients simultanément. La pression exercée est également démultipliée : EY n'est pas seulement exposé pour ses propres données, mais aussi pour celles de ses clients, créant une pression supplémentaire liée à la responsabilité contractuelle et réglementaire envers ces derniers.

Cette approche "attaquer le prestataire pour atteindre ses clients" n'est pas nouvelle — les attaques contre des MSP (Managed Service Providers) ou des éditeurs de logiciels comme dans l'affaire SolarWinds de 2020 ont démontré son efficacité. Mais son application aux Big Four de l'audit (Deloitte, PwC, EY, KPMG) représente une escalade notable. Ces cabinets bénéficient généralement d'équipes de sécurité expérimentées et d'investissements conséquents en cybersécurité, mais leur modèle d'activité — accès étendu aux systèmes et données des clients, nombreux collaborateurs distants, partenariats avec des milliers de sous-traitants — crée une surface d'attaque complexe à maîtriser entièrement.

Du point de vue réglementaire, une violation confirmée chez EY impliquerait des obligations de notification dans de nombreuses juridictions. Le RGPD exige une notification à l'autorité de protection des données dans les 72 heures suivant la découverte d'une violation susceptible d'affecter des données personnelles. NIS2, applicable depuis octobre 2024 dans les États membres de l'UE, impose des obligations similaires aux entités essentielles et importantes, avec des sanctions potentiellement très significatives en cas de manquement. EY opérant dans toutes les grandes juridictions mondiales, les implications réglementaires d'une violation confirmée seraient considérables et multidimensionnelles.

Pour les organisations clientes d'EY, cet incident soulève une question de gouvernance de la sécurité de la chaîne d'approvisionnement qui s'applique à tous les prestataires de services professionnels : dans quelle mesure les données partagées avec les auditeurs sont-elles protégées, et quelles garanties contractuelles et techniques existent pour en limiter l'exposition en cas de compromission du prestataire ? La directive NIS2 et le règlement DORA (pour le secteur financier) imposent désormais aux organisations de gérer activement les risques cyber de leurs prestataires tiers, ce qui inclut les cabinets d'audit et de conseil.

Ce qu'il faut retenir

• ShinyHunters a revendiqué une intrusion chez Ernst & Young le 31 juillet 2026, dans le cadre d'une vague d'attaques incluant Abbott Labs et Brinks Home ces dernières semaines.
• Le groupe exploite principalement le vishing via Microsoft Teams pour compromettre des identifiants Microsoft Entra, offrant un accès étendu aux ressources cloud des victimes.
• Les clients d'EY doivent surveiller les communications officielles du cabinet et évaluer l'exposition de leurs données partagées dans le cadre de missions d'audit récentes.