O grupo de extorsão ShinyHunters reivindicou publicamente a responsabilidade por uma violação de dados na Ernst & Young (EY), uma das maiores firmas de serviços profissionais e auditoria do mundo, e ameaça divulgar informação alegadamente roubada caso a empresa não inicie negociações até 31 de julho de 2026. A EY confirmou uma violação de dados no início de julho, mas até ao momento não confirmou a autoria nem validou as afirmações do grupo criminoso.
Resposta rápida: A EY confirmou o roubo de documentos com informação fiscal de clientes a partir de uma plataforma de gestão de suporte de TI de um terceiro, com acesso não autorizado entre 28 de março e 12 de abril de 2026. O ShinyHunters reivindicou o ataque a 27 de julho e definiu um prazo de 31 de julho para negociar, mas várias das suas alegações continuam por verificar. Quem recebeu carta de notificação da EY deve ativar a monitorização gratuita oferecida e ponderar congelar o crédito.
O que a EY confirmou oficialmente
Antes de qualquer reivindicação de autoria, a própria EY já tinha divulgado o incidente através de notificações apresentadas a procuradores-gerais de vários estados norte-americanos. A EY utiliza uma plataforma de gestão de serviços de tecnologias de informação de um terceiro para ajudar o seu pessoal de TI a dar apoio às equipas que realizam trabalho fiscal para clientes, e os tickets de suporte submetidos através dessa plataforma podiam incluir documentos com informação pessoal.
Segundo a investigação da firma, um terceiro não autorizado acedeu à plataforma entre 28 de março e 12 de abril de 2026 e descarregou documentos pertencentes a vários clientes da EY. A anomalia só foi detetada semanas depois: a EY afirma ter detetado atividade invulgar a 23 de abril e determinado que o atacante acedeu à plataforma entre 28 de março e 12 de abril, descarregando vários documentos.
Quanto à resposta ao incidente, a EY afirmou ter protegido os seus sistemas, removido o acesso não autorizado e notificado as autoridades federais, tendo começado a oferecer aos clientes afetados 24 meses de monitorização de crédito, monitorização de identidade e serviços de restauro de identidade através da Experian. O prazo para adesão termina às 23h59 UTC de 31 de outubro de 2026 e a EY criou uma linha telefónica dedicada para questões, disponível também através do endereço de correio eletrónico [email protected].
A reivindicação do ShinyHunters
O grupo de extorsão adicionou a EY ao seu site de fugas na dark web a 27 de julho, com a mensagem “Yes it was us. Now come talk to us”, afirmando que a empresa tinha até ao final de julho para responder antes de os dados serem divulgados e de seguirem outras perturbações não especificadas. Segundo os atacantes, terão estado a tentar contactar a EY.
O ShinyHunters descreveu ainda um vetor de ataque específico. O grupo alegou ter obtido credenciais para alguns dos sistemas da empresa através de um ataque à cadeia de abastecimento. A partir daí, o grupo afirmou que essas credenciais deram acesso aos ambientes Jira, GitHub e Microsoft Azure da empresa.
É importante sublinhar o que permanece por confirmar. Estas afirmações adicionais continuam por verificar e o ShinyHunters não identificou o alegado fornecedor terceiro, não explicou como foram obtidas as credenciais nem descreveu os ficheiros que diz ter roubado; a EY também não confirmou que o grupo foi responsável nem que os sistemas Jira, GitHub e Azure foram acedidos. Alguns analistas notaram ainda que , ao contrário das habituais publicações de extorsão, a mensagem não incluía detalhes técnicos sobre o comprometimento nem capturas de ecrã, listas de ficheiros ou amostras descarregáveis, frequentemente usadas para sustentar reivindicações.
Cronologia do incidente
| Data | Acontecimento |
|---|---|
| 28 mar. – 12 abr. 2026 | Janela de acesso não autorizado à plataforma de suporte de TI de um terceiro |
| 23 abr. 2026 | EY deteta atividade anómala e inicia a investigação |
| 13 jul. 2026 | Data das cartas de notificação aos indivíduos afetados |
| 15–16 jul. 2026 | Notificações apresentadas aos procuradores-gerais da Califórnia e do Vermont |
| 27 jul. 2026 | ShinyHunters reivindica o ataque no seu site de fugas |
| 31 jul. 2026 | Prazo dado pelo grupo para a EY iniciar negociações |
| 31 out. 2026 | Limite para os afetados aderirem à monitorização Experian |
Que dados estão em causa
Os documentos comprometidos são particularmente sensíveis por dizerem respeito a trabalho fiscal. As categorias de dados confirmadas pela EY incluem documentos com informação fiscal de clientes e informação pessoal e financeira usada para preparar declarações fiscais de clientes. As notificações estaduais detalham ainda que, entre os dados roubados figuram números da Segurança Social, códigos de contas financeiras, dados de contas de crédito e débito, participações em investimentos e o conteúdo de declarações fiscais de clientes. O número total de pessoas afetadas não foi divulgado.
Vale a pena distinguir este caso de uma outra exposição de dados da EY noticiada no final de 2025, quando um ficheiro de cópia de segurança de SQL Server com 4TB pertencente à EY foi descoberto publicamente acessível no Microsoft Azure, revelado pela empresa de cibersegurança Neo Security durante um exercício de mapeamento de ativos. Trata-se de um episódio anterior e distinto da atual reivindicação do ShinyHunters, embora ambos ajudem a ilustrar a superfície de ataque de uma organização desta dimensão.
O verdadeiro alerta: a cadeia de abastecimento
Para além do nome da vítima, o ponto que mais interessa aos responsáveis de TI é o alegado vetor de entrada. Segundo o ShinyHunters, não terá violado a EY diretamente: roubou credenciais num ataque à cadeia de abastecimento contra um terceiro não identificado e usou depois essas credenciais para alcançar os sistemas da EY através de uma plataforma de gestão de serviços de TI que a firma usa para tickets de suporte. O caso demonstra como uma banal ferramenta de helpdesk pode transformar-se numa porta aberta quando documentos sensíveis são anexados a tickets sem controlos adequados.
Do ponto de vista técnico, não há aqui um CVE ou um patch a aplicar. A mitigação passa pela resposta da própria EY, que diz ter protegido os sistemas, removido o acesso não autorizado, notificado as autoridades e oferecido 24 meses de monitorização Experian aos clientes afetados. Para outras organizações, as lições concretas são conhecidas: aplicar autenticação multifator robusta a contas de fornecedores e integradores, segmentar acessos de terceiros, evitar o armazenamento de dados sensíveis em anexos de tickets, monitorizar comportamentos anómalos em plataformas SaaS e rever contratualmente as obrigações de segurança da cadeia de abastecimento.
Porque é que isto importa em Portugal
Embora as notificações conhecidas digam respeito a estados norte-americanos, o padrão do ataque é diretamente relevante para as organizações portuguesas. A dependência de fornecedores e plataformas SaaS é transversal, e a segurança da cadeia de abastecimento é hoje um dos pilares do Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2). As entidades abrangidas passam a ter de gerir os riscos associados a terceiros e a comunicar incidentes significativos, sob coordenação do CNCS/CERT.PT.
Do lado da proteção de dados pessoais, um incidente com este perfil — envolvendo dados fiscais e financeiros — desencadearia, no espaço europeu, obrigações de notificação nos termos do RGPD, tanto à autoridade de controlo (a CNPD, em Portugal) como, potencialmente, aos titulares dos dados afetados. Para as PME que recorrem a firmas de auditoria, consultoria ou contabilidade, o caso é um lembrete de que a informação partilhada com prestadores continua a ser da sua responsabilidade e deve ser objeto de diligência e de cláusulas de segurança adequadas.
Perguntas frequentes
A EY confirmou que foi o ShinyHunters?
Não. A EY confirmou a existência de uma violação de dados, mas não confirmou a autoria nem validou as alegações do ShinyHunters sobre acesso aos ambientes Jira, GitHub e Azure. Essas afirmações permanecem por verificar de forma independente.
Que tipo de dados foi comprometido?
Segundo as notificações da EY, os documentos incluíam informação fiscal de clientes e dados pessoais e financeiros usados para preparar declarações fiscais, com referências a números da Segurança Social e a dados de contas financeiras. O número total de afetados não foi divulgado.
O que devo fazer se recebi uma notificação da EY?
Ative a monitorização de crédito e identidade gratuita da Experian oferecida pela EY antes do prazo de 31 de outubro de 2026 e pondere colocar um congelamento de crédito nas agências de referência. Vigie extratos bancários e movimentos suspeitos e desconfie de tentativas de phishing que explorem o incidente.
Este caso é o mesmo da fuga de 4TB no Azure?
Não. A exposição de uma cópia de segurança de 4TB no Microsoft Azure foi noticiada em 2025 e revelada pela Neo Security, sendo um episódio distinto da violação da plataforma de suporte de TI de um terceiro agora reivindicada pelo ShinyHunters.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Ernst & Young, em notificações apresentadas aos procuradores-gerais da Califórnia e do Vermont, e em relatos do BleepingComputer e de investigadores de segurança.