ShinyHunters Klaim Bertanggung Jawab atas Data Breach Ernst and Young
Kelompok extortion ShinyHunters mengklaim bertanggung jawab atas insiden data breach yang baru-baru ini diungkap Ernst & Young (EY). Klaim tersebut muncul setelah EY memberitahukan adanya kompromi pada platform support ticket pihak ketiga yang digunakan personel IT untuk membantu tim yang menangani pekerjaan pajak klien.
Menurut pemberitahuan resmi yang diajukan EY, aktivitas tidak biasa terdeteksi pada 23 April 2026. Investigasi kemudian menemukan bahwa pihak tidak berwenang mengakses platform tersebut antara 28 Maret hingga 12 April 2026 dan mengunduh sejumlah dokumen.
Platform yang terdampak digunakan untuk mendukung pekerjaan internal terkait layanan pajak. Support ticket yang masuk ke sistem tersebut dapat berisi dokumen yang memuat informasi pajak klien. EY menyatakan data yang dicuri mencakup informasi pribadi dan finansial yang termasuk dalam, atau digunakan untuk menyiapkan, dokumen pelaporan pajak.
ShinyHunters Klaim Melakukan Serangan
ShinyHunters kemudian memasukkan nama Ernst & Young ke data leak site miliknya dan mengklaim sebagai pelaku di balik insiden tersebut. Kelompok itu mengancam akan merilis data yang diklaim dicuri apabila perusahaan tidak menghubungi mereka sebelum 31 Juli 2026.
Pelaku mengklaim bahwa kredensial untuk beberapa sistem EY diperoleh melalui supply-chain attack. Kredensial tersebut disebut digunakan untuk mengakses lingkungan Jira, GitHub, dan Azure milik perusahaan. Namun, klaim ini belum dikonfirmasi oleh EY dan belum dapat diverifikasi secara independen dari informasi publik yang tersedia.
ShinyHunters juga tidak mengungkap pihak ketiga mana yang diduga menjadi sumber kompromi kredensial. Kelompok itu hanya mengklaim bahwa data yang diakui EY sebagai terdampak ikut terekspos, bersama data lain yang belum dirinci.
Detail Sistem Terdampak Belum Diungkap
EY belum menyebut nama platform support ticket pihak ketiga yang terdampak. Perusahaan juga belum mempublikasikan jumlah individu yang terkena dampak, serta belum memberikan rincian lengkap mengenai jenis data pribadi atau finansial yang ikut terekspos.
Dalam pemberitahuannya, EY menyebut telah mengamankan sistem, menghapus akses tidak sah, dan memberi tahu aparat penegak hukum federal. Perusahaan juga menawarkan layanan identity monitoring dan restoration selama 24 bulan melalui Experian kepada klien yang terdampak.
Karena dokumen yang terlibat berkaitan dengan pekerjaan pajak, risiko bagi korban tidak hanya terbatas pada spam atau phishing. Informasi pajak dan finansial dapat digunakan untuk penipuan identitas, rekayasa sosial yang lebih meyakinkan, atau upaya pengambilalihan akun keuangan.
Supply Chain Jadi Sorotan
Klaim ShinyHunters mengenai supply-chain attack menyoroti risiko yang muncul ketika organisasi besar bergantung pada platform pihak ketiga untuk operasional internal. Sistem support ticket, helpdesk, dan IT service management sering menyimpan lampiran, kredensial sementara, detail teknis, atau informasi klien yang sensitif.
Jika platform semacam itu dikompromikan, pelaku dapat memperoleh data langsung dari ticket, atau menggunakan informasi di dalamnya untuk bergerak ke sistem lain. Karena itu, keamanan vendor dan kontrol akses ke sistem pendukung internal perlu diperlakukan sebagai bagian penting dari strategi perlindungan data.
Organisasi yang memakai platform pihak ketiga untuk support internal sebaiknya menerapkan prinsip least privilege, membatasi akses berdasarkan peran, menerapkan multi-factor authentication yang kuat, dan memantau aktivitas unduhan massal dokumen. Audit terhadap token, API key, dan integrasi ke sistem seperti GitHub, Jira, dan Azure juga perlu dilakukan secara berkala.
Langkah yang Perlu Diambil Klien Terdampak
Klien yang menerima notifikasi dari EY sebaiknya segera mendaftar layanan monitoring yang disediakan, memantau laporan kredit, dan mewaspadai komunikasi yang mengatasnamakan EY, otoritas pajak, atau lembaga keuangan. Data pajak yang bocor dapat membuat email phishing terlihat lebih spesifik dan meyakinkan.
Pengguna juga disarankan tidak mengirim dokumen tambahan melalui email tanpa verifikasi, tidak membuka lampiran mencurigakan, dan memastikan kanal komunikasi yang digunakan benar-benar resmi. Jika ada tanda penyalahgunaan identitas atau aktivitas keuangan tidak biasa, korban perlu segera menghubungi lembaga keuangan terkait dan mempertimbangkan credit freeze sesuai kebutuhan.
Sumber: EY Data Breach Notification
