ハッカーグループ ShinyHuntersがアーンスト・アンド・ヤング（EY）へのサイバー攻撃を主張|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月30日更新日時: 2026年07月30日

Ernst & Young LLP（EY）は2026年7月13日付で顧客向けにデータ侵害通知書を発行し、同社が利用する第三者製ITサービス管理プラットフォームへの不正アクセスにより、複数のEYクライアントに関する顧客情報を含む文書が外部へ流出したことを公表しました。そして同月27日、悪名高い恐喝グループ「ShinyHunters」がダークウェブ上のリークサイトにEYを掲載し「これは我々だ」と犯行を主張。7月31日を期限として全データの公開を警告しています。EYは現時点でShinyHuntersが攻撃の実行者であることを確認しておらず、調査は継続中です。

EYデータ侵害事案とShinyHuntersの犯行声明のサマリー

EYが利用する第三者製ITサービス管理プラットフォームが不正アクセスを受けた（侵害期間：2026年3月28日〜4月12日）
EYが異常活動を検知した日：2026年4月23日
顧客の税務関連書類・個人情報・金融情報を含む文書が流出
EYは2026年7月13日付でデータ侵害通知書を発行、影響を受けた個人に24か月のクレジット監視・なりすまし補償サービスを提供
ShinyHuntersが2026年7月27日にリークサイトへEYを掲載し犯行を主張、7月31日を最終期限として全データ公開を警告
ShinyHuntersはサプライチェーン攻撃でEYのJira・GitHub・Azureにアクセスしたと主張（未検証）
EYはShinyHuntersが攻撃者であることを公式に確認せず、侵害された第三者プラットフォームの名称も未開示
イリノイ州在住者によるクラスアクション訴訟が提起済み

整理表

項目	内容
被害組織	Ernst & Young LLP（EY、米国）
侵害されたシステム	第三者製ITサービス管理プラットフォーム（名称未開示）
不正アクセス期間	2026年3月28日〜4月12日
異常活動検知日	2026年4月23日
通知書発行日	2026年7月13日
流出データ	顧客の税務書類・個人情報・金融情報
犯行主張グループ	ShinyHunters（2026年7月27日にリークサイト掲載）
公開期限	2026年7月31日（ShinyHunters設定）
EYによる攻撃者の確認	なし（調査継続中）
クラスアクション	イリノイ州在住者Markishi Wyattが提起
過去事案との関係	2023年のMOVEit侵害（EY×バンク・オブ・アメリカ）とは別件

何が起きたか——第三者ITプラットフォームを狙ったサプライチェーン攻撃

EYが7月13日付で発行したデータ侵害通知書によると、同社は第三者製のITサービス管理プラットフォームを活用し、ITスタッフがクライアントの税務関連業務を支援するために使用していました。このプラットフォームには、顧客の税務情報を含む文書が添付されたサポートチケットが蓄積されており、クライアントの機密情報が集積する環境でした。

EYのセキュリティチームが異常活動を検知したのは2026年4月23日です。直ちにインシデント対応手順を発動し、独立したサイバーセキュリティ企業と連携して調査を実施しました。その結果、不正なアクセスはすでに停止されており、システムの安全は確保されたとしています。ただし、調査により不正アクセスが2026年3月28日から4月12日の約2週間にわたって継続していたことが判明しており、EYの検知はアクセス終了から11日後でした。

EYは複数の米国州の司法長官室に対して侵害の報告を提出しており、これにより通知書の内容が公開情報となりました。侵害された第三者プラットフォームの名称や影響を受けた人数については現時点で開示されていません。

なお、今のところ日本への影響は発生していないと思われます。

流出した情報——顧客の税務情報・個人情報・金融情報

EYの通知書には、影響を受けた情報の範囲として「顧客の投資保有情報・個人情報、および税務申告書の作成に使用された財務情報」が記載されています。各種報告書によれば、具体的には氏名・住所・社会保障番号（SSN）・銀行口座情報・支払カード情報・その他の税務関連記録が含まれているとされています。

注目すべきは、これらが単なる連絡先情報にとどまらず、税務申告書の準備に使用される金融情報という高い機密性を持つデータである点です。EYは世界規模の専門サービス企業として、金融機関・事業会社・個人など幅広い顧客の税務情報を取り扱っています。サポートチケット経由で流出した情報は複数のEYクライアントにまたがるとされており、1件の侵害が広範なクライアントに影響を及ぼす構造的なリスクを示しています。

EYは現時点で「情報が悪用された証拠はなく、特定のクライアントを標的にした侵害だとは考えていない」としながらも、影響を受けた個人に対して24か月のクレジット監視・なりすまし監視・なりすまし補償サービスを無償提供しています。

ShinyHuntersの犯行声明と7月31日最終期限

2026年7月27日、ShinyHuntersのダークウェブリークサイトにErnst & Youngが新規追加され、「Yes it was us. Now come talk to us（これは我々だ。今すぐ連絡してこい）」と犯行を主張する文言が掲載されました。この声明と同時に「7月31日までに連絡がなければ全データとファイルを完全に公開する」と警告しており、EYに対して4日間という極めて短い交渉期限を設定しています。

ShinyHuntersは今回のリークサイト掲載と同時期に、RingCentral（623GB超のデータ侵害主張）、Brinks Home（490万件のSalesforceレコード）、Exact Sciences Corporation（146GB超、7月28日更新）も掲載しており、複数の組織を同時並行で標的にするパターンを繰り返しています。

BleepingComputerがShinyHuntersに直接確認したところ、グループはサプライチェーン攻撃によって得た認証情報を使ってEYのシステムに侵入したと主張しました。ただしBleepingComputerは「これらの主張を独立した立場で検証することはできない」と明記しており、EYもShinyHuntersが攻撃者であることを公式に確認していません。

ShinyHuntersは2026年に入り、Instructure・Charter Communicationsなど複数の組織に対して同様の恐喝キャンペーンを展開しており、被害者名と期限を公開して交渉圧力をかける手口を繰り返しています。スティーラーログを通じてクレデンシャルを収集しランサムウェア攻撃に転用する手口が近年の主流になっており、ShinyHuntersもこうしたクレデンシャルエコノミーを活用しているとみられます。

ShinyHuntersが追加主張する侵害範囲（未検証）

ShinyHuntersはサプライチェーン攻撃で取得したクレデンシャルを使い、EYのJira・GitHub・Azure環境にアクセスしたとも主張しています。EYの公式通知書はITサービス管理プラットフォームへのアクセスのみを確認しており、社内システムへの侵害については言及していません。

これらの追加主張は現時点で第三者による独立した検証がなされておらず、ShinyHuntersは侵害した第三者プラットフォームの名称も、どのようにクレデンシャルを取得したかも明かしていません。情報システム部門としては、EYの公式発表で確認された事実（第三者プラットフォームへのアクセス・文書の流出）と、ShinyHuntersが主張しているにとどまる事実（社内システムへのアクセス）を明確に区別して評価する必要があります。

訴訟と過去のMOVEit侵害との関係

イリノイ州在住のMarkishi Wyatt氏は、EYが機密情報の保護を怠ったとして、なりすまし詐欺リスクを高めたと主張するクラスアクション訴訟を提起しました。EYはこれらの主張を認めておらず、裁判での審理は今後進む見込みです。

なお今回の事案は、2023年に発生したMOVEitファイル転送ツールを悪用した侵害（EYがバンク・オブ・アメリカの顧客情報を取り扱っていたケース）とは別件です。MOVEit侵害については2,500万ドルの和解基金設立が提案されていますが、裁判所の承認を待っている状況です。

情報システム部門が確認すべき対応

今回の事案は、EYを直接利用している企業・金融機関にとどまらず、業務委託先が使用する第三者プラットフォームを起点としたリスクという観点から、自社のサプライチェーン管理を見直す契機となります。

自社がEYと取引関係にある場合、EYからの通知書を受領しているかを確認してください。EYは影響を受けた個人に対して順次通知を行っており、特に税務申告書の作成を依頼していた場合は、流出した可能性がある情報の範囲を確認する必要があります。

今回の侵害で最も重要な教訓は、社内システムそのものへの攻撃より先に、連携している第三者ベンダーのプラットフォームが侵害起点となった点です。業務委託先のベンダーがどのようなシステムを利用しているか、そのシステムに自社の顧客情報・取引情報が格納されていないかを棚卸しし、第三者リスク管理の対象として明示的に位置づけることが求められます。