O grupo criminoso ShinyHunters voltou a aparecer com um alvo de peso. Desta vez, a vítima é a Ernst & Young (EY), uma das quatro maiores consultorias de auditoria e contabilidade do mundo. Em publicações na dark web, os invasores afirmam ter em mãos um volume grande de informações sensíveis e definiram 31 de julho de 2026 como prazo para a empresa procurar negociação — do contrário, dizem que publicarão tudo.
A lista de dados citada pelo grupo é preocupante pela natureza do material: nomes, endereços, números de Previdência Social, códigos de contas financeiras, números de contas bancárias e dados de cartões de pagamento. Os criminosos afirmam ainda ter obtido credenciais de acesso a ferramentas internas de trabalho — Jira, GitHub e Microsoft Azure. Se essa parte se confirmar, o problema deixa de ser apenas um vazamento de registros e passa a envolver a possibilidade de movimentação dentro da infraestrutura da consultoria e de seus projetos.
A resposta pública da EY até agora tem sido contida. A empresa confirmou que identificou e revogou um acesso não autorizado em abril de 2026 e informou que está oferecendo 24 meses de monitoramento de identidade pela Experian aos clientes afetados. Não houve, porém, manifestação direta sobre as ameaças que circulam agora nem sobre a extensão real do que foi levado. Esse descompasso entre o incidente de abril e a cobrança de resgate em julho é um padrão conhecido: grupos de extorsão costumam esperar meses antes de pressionar, justamente para acumular material e escolher o momento de maior impacto.
O ShinyHunters já é velho conhecido de quem acompanha segurança. O grupo se especializou em ataques em série contra grandes corporações, geralmente explorando credenciais e integrações de terceiros em vez de invadir sistemas centrais diretamente. O modelo de negócio é sempre o mesmo: roubar dados, ameaçar publicá-los e cobrar para não fazê-lo. Pagar não garante nada — não há como verificar se as cópias foram destruídas —, e é por isso que a maioria das autoridades desaconselha a negociação.
Para o leitor brasileiro, o caso importa mesmo sem envolver diretamente uma empresa nacional. Consultorias globais como a EY prestam serviço a bancos, indústrias e companhias de capital aberto no Brasil, e dados corporativos brasileiros podem estar no mesmo pacote. Vale também a lição prática de sempre: quando dados financeiros de terceiros vazam, o risco imediato para pessoas físicas não é o saque direto, e sim o golpe de engenharia social. Ligações e mensagens que citam corretamente seu nome, endereço ou os últimos dígitos de um cartão são muito mais convincentes — e é justamente esse tipo de informação que circula depois de incidentes assim. Ativar autenticação em duas etapas, desconfiar de contatos que pedem confirmação de dados e acompanhar o extrato continuam sendo as defesas mais eficazes.
