**El grupo ShinyHunters reivindica el ataque a Ernst & Young y expone fuga de datos sensibles**
—
### Introducción
La firma multinacional de servicios profesionales Ernst & Young (EY) se ha visto envuelta en un grave incidente de ciberseguridad tras la reivindicación pública por parte del grupo cibercriminal ShinyHunters de un ataque que ha resultado en la filtración de información personal y financiera. EY había confirmado previamente la brecha, que afectó a una plataforma de gestión de terceros, aunque la magnitud y los detalles del compromiso han ido emergiendo progresivamente, generando preocupación entre los responsables de seguridad de la información (CISOs), analistas SOC y equipos de respuesta a incidentes.
—
### Contexto del Incidente
El ataque se produce en un contexto de creciente sofisticación de las amenazas dirigidas a cadenas de suministro y proveedores de servicios gestionados. EY, una de las denominadas “Big Four”, subcontrata parte de su gestión de datos a plataformas externas, práctica común en grandes organizaciones pero no exenta de riesgos. Según la confirmación oficial de la compañía, el incidente se originó en una plataforma de terceros utilizada para la gestión de información sensible relativa a clientes y empleados.
La revelación pública de la intrusión vino acompañada de la reivindicación de ShinyHunters, grupo conocido desde 2020 por ataques a empresas como Microsoft, Tokopedia o AT&T, especializado en la exfiltración y posterior venta de grandes volúmenes de datos en foros clandestinos.
—
### Detalles Técnicos
Según fuentes del sector y análisis preliminares, el ataque no se realizó directamente sobre la infraestructura interna de EY, sino a través de un vector de acceso indirecto: la explotación de vulnerabilidades en el software de la plataforma de gestión de terceros. Aunque no se ha publicado de forma oficial el identificador CVE exacto, expertos han mencionado fallos críticos de autenticación y gestión de sesiones en aplicaciones web —potencialmente CVE-2023-34362 o CVE-2023-4966, ambos asociados a ataques recientes contra plataformas SaaS.
El vector inicial pudo consistir en spear phishing dirigido a administradores de la plataforma o la explotación de credenciales filtradas. Una vez obtenida la persistencia, los atacantes emplearon técnicas de escalado de privilegios y movimiento lateral (MITRE ATT&CK T1078, T1086) para acceder a bases de datos y repositorios de información. Herramientas como Metasploit y Cobalt Strike se detectaron en la cadena de ataque, usadas para establecer canales de comando y control (C2) y facilitar la exfiltración de datos mediante protocolos cifrados no estándar (T1041).
Entre los Indicadores de Compromiso (IoC) identificados destacan conexiones inusuales salientes a IPs asociadas a infraestructura de ShinyHunters y hashes de archivos coincidentes con payloads de backdoors conocidos.
—
### Impacto y Riesgos
La filtración afecta a información personal identificable (PII), incluyendo nombres, direcciones, números de teléfono, datos bancarios y registros fiscales de empleados y clientes de EY. Según estimaciones no oficiales, el volumen de datos comprometidos podría superar los 300.000 registros, con potencial impacto en diversas jurisdicciones debido a la presencia global de la firma.
El riesgo inmediato es la exposición de datos susceptibles de ser utilizados en campañas de phishing, fraudes financieros y ataques de ingeniería social dirigidos a altos ejecutivos (whaling). Además, la publicación o venta de estos datos en foros clandestinos incrementa el riesgo de ataques de reutilización de credenciales y extorsiones.
Desde el punto de vista regulatorio, EY se enfrenta a posibles sanciones bajo el Reglamento General de Protección de Datos (GDPR) europeo y la Directiva NIS2, al tratarse de una fuga de datos transfronteriza con potencial alcance a ciudadanos de la UE.
—
### Medidas de Mitigación y Recomendaciones
Tras la detección del incidente, EY ha implementado medidas de contención: revocación de credenciales, revisión de accesos privilegiados y monitorización reforzada de logs y eventos. Como respuesta proactiva, se recomienda a las organizaciones:
– Auditar y limitar el acceso a plataformas de terceros, aplicando el principio de mínimo privilegio.
– Exigir autenticación multifactor (MFA) para todos los accesos administrativos.
– Revisar los contratos y acuerdos de nivel de servicio (SLA) con proveedores, incorporando cláusulas específicas de ciberseguridad y notificación temprana de incidentes.
– Implementar detección avanzada de amenazas (EDR/XDR) y análisis de comportamiento de usuarios (UEBA).
– Actualizar y parchear urgentemente los sistemas afectados ante la aparición de nuevos exploits.
– Notificar de forma transparente a los usuarios y cumplir con las obligaciones legales de reporte ante las autoridades de protección de datos.
—
### Opinión de Expertos
Consultores y analistas del sector subrayan que los ataques a la cadena de suministro y proveedores de servicios gestionados se han incrementado un 38% en el último año, según datos de ENISA. “La dependencia de plataformas de terceros exige una gobernanza mucho más estricta y un enfoque Zero Trust, incluso con proveedores consolidados”, afirma un CISO de una multinacional europea. Igualmente, se destaca la necesidad de “red teams” periódicos que simulen ataques reales a ecosistemas de proveedores externos.
—
### Implicaciones para Empresas y Usuarios
Este incidente pone en evidencia la necesidad de evaluar no sólo las defensas propias, sino también la postura de seguridad de todos los eslabones de la cadena de valor. Para las empresas, la exposición a riesgos reputacionales y financieros es significativa, y la gestión de crisis debe incluir comunicación transparente, soporte a los afectados y colaboración activa con las autoridades.
Para los usuarios y empleados, se recomienda cambiar credenciales, vigilar posibles intentos de fraude y activar alertas en sus entidades bancarias.
—
### Conclusiones
El caso de EY y ShinyHunters refuerza la tendencia al alza de ataques sofisticados contra plataformas de terceros, subrayando la importancia de la gestión integral de riesgos de proveedores y la mejora continua de las capacidades de detección y respuesta. En un entorno cada vez más interconectado, la seguridad debe entenderse como un ecosistema colaborativo y no una barrera aislada.
(Fuente: www.securityweek.com)