Grupa ShinyHunters atakuje przez vishing. Jak wygląda nowa fala wyłudzeń danych?
Grupa ShinyHunters wykorzystuje vishing do przejmowania kont SSO w firmach, kradnąc dane z Salesforce i innych aplikacji. Ofiarami padły już Charter Communications i Vimeo. Sprawdź, jak się bronić.
Grupa przestępcza ShinyHunters od kilku miesięcy prowadzi kampanię wymierzoną w duże firmy, wykorzystując ataki voice phishing (vishing) do przejmowania firmowych kont SSO. W ostatnich tygodniach ofiarami padli m.in. amerykański gigant telekomunikacyjny Charter Communications oraz platforma wideo Vimeo. Ataki te pokazują, że zagrożenie nie dotyczy wyłącznie Stanów Zjednoczonych – podobne metody mogą być stosowane wobec firm na całym świecie, w tym w Polsce.
Jak działa atak ShinyHunters?
Mechanizm ataku jest prosty, ale skuteczny. Jak wynika z informacji przekazanych przez BleepingComputer, grupa ShinyHunters przeprowadza ataki vishingowe, czyli telefoniczne wyłudzenia danych, których celem są pracownicy firm lub agencji outsourcingowych (BPO). Atakujący podszywają się pod zaufane osoby i nakłaniają ofiarę do ujawnienia danych uwierzytelniających do konta Microsoft Entra, Okta lub Google SSO.
Po uzyskaniu dostępu do firmowego konta SSO przestępcy kradną dane z podłączonych aplikacji SaaS, takich jak Salesforce, Microsoft 365, Google Workspace, SAP, Slack, Adobe, Atlassian, Zendesk czy Dropbox. W przypadku Charter Communications grupa twierdzi, że uzyskała dostęp do systemów firmy 1 kwietnia 2026 roku, a następnie wykradła miliony rekordów z instancji Salesforce.
Charter Communications potwierdził incydent, ale w oficjalnym oświadczeniu zapewnił, że „nie doszło do wycieku wrażliwych danych osobowych ani danych objętych tajemnicą telekomunikacyjną (CPNI)”. Firma poinformowała również, że powiadomiła odpowiednie organy ścigania.
Skala wycieku – co wiemy, a czego nie?
Dane opublikowane przez serwis Have I Been Pwned wskazują, że w wyniku ataku na Charter Communications ujawniono informacje dotyczące 4,9 miliona kont. Wśród wykradzionych danych znalazły się: imiona i nazwiska, adresy e-mail, numery telefonów oraz adresy fizyczne. Niewielka część rekordów (około 85 tysięcy) pochodzących z wewnętrznego katalogu pracowników zawierała także stanowiska.
Grupa ShinyHunters twierdzi, że wykradła łącznie 42 miliony rekordów, jednak Charter Communications zaprzecza, by doszło do wycieku danych CPNI. Różnica w szacunkach pokazuje, jak trudno zweryfikować rzeczywistą skalę incydentu bez dostępu do pełnych danych śledczych.
W przypadku Vimeo, do którego ataku doszło za pośrednictwem firmy Anodot, ujawniono dane 119 200 osób. Firma zapewniła, że nie doszło do naruszenia haseł ani danych finansowych, a dostęp do systemów został odcięty po wykryciu incydentu.
Dlaczego to ważne dla polskich firm?
Choć na razie nie ma doniesień o atakach ShinyHunters na polskie firmy, mechanizm ataku jest uniwersalny. Vishing, czyli wyłudzanie danych przez telefon, to metoda stosowana także przez rodzime grupy przestępcze. Coraz więcej polskich przedsiębiorstw korzysta z chmurowych aplikacji SaaS, takich jak Salesforce, Microsoft 365 czy Google Workspace, co czyni je potencjalnym celem.
Grupa ShinyHunters atakuje nie tylko bezpośrednio firmy, ale także ich dostawców usług IT i integratorów. Włamanie do Anodot, które umożliwiło atak na Vimeo, pokazuje, jak ważne jest zarządzanie ryzykiem w łańcuchu dostaw.
Jak się bronić przed atakami vishingowymi?
Ochrona przed tego typu zagrożeniami wymaga połączenia technologii i edukacji pracowników. Oto kilka kluczowych zaleceń:
- Szkolenia z rozpoznawania ataków socjotechnicznych – pracownicy powinni wiedzieć, że nikt z działu IT ani zewnętrzny dostawca nie będzie prosił o hasło przez telefon.
- Wdrożenie wieloskładnikowego uwierzytelniania (MFA) – nawet jeśli przestępca zdobędzie hasło, dodatkowy składnik uwierzytelnienia może zablokować dostęp.
- Monitorowanie logowań do kont SSO – nietypowe próby logowania, zwłaszcza z nieznanych lokalizacji, powinny natychmiast uruchamiać alerty.
- Ograniczenie dostępu do aplikacji SaaS – nie każdy pracownik potrzebuje dostępu do Salesforce czy innych systemów z danymi klientów.
- Regularne audyty bezpieczeństwa u dostawców – jeśli firma korzysta z zewnętrznych narzędzi analitycznych lub integracji, warto sprawdzić, jakie mają one zabezpieczenia.
W przypadku ataku na Charter Communications grupa ShinyHunters zażądała okupu, a po odmowie zapłaty opublikowała skradzione dane na swojej stronie w dark webie. FBI odradza płacenie okupu, ponieważ nie gwarantuje odzyskania danych ani zapobieżenia ich dalszemu rozpowszechnianiu.
Co dalej?
Działania ShinyHunters pokazują, że grupa ta nie zamierza zwalniać tempa. W ostatnich tygodniach przypisano jej ataki na Europejską Komisję, Rockstar Games, McGraw Hill, Medtronic, Carnival, Zarę, 7-Eleven i Udemy. Firmy na całym świecie, w tym w Polsce, powinny traktować te incydenty jako ostrzeżenie i sprawdzić, czy ich zabezpieczenia przed atakami socjotechnicznymi są wystarczające.
Należy też śledzić komunikaty CERT Polska oraz raporty firm bezpieczeństwa, które regularnie opisują nowe kampanie phishingowe i vishingowe. Szybka reakcja i odpowiednie procedury mogą zminimalizować ryzyko, że właśnie nasza firma stanie się kolejną ofiarą.
