ShinyHunters hat die Job-Seite des FBI gehackt. Was enthüllt seine Angriffsserie?

Im Mai warnte das FBI die Öffentlichkeit vor ShinyHunters , nachdem die Gruppe einen Angriff auf Canvas, eine von Schulen und Universitäten genutzte Lernplattform, beansprucht hatte. Schüler und Lehrkräfte im ganzen Land verloren den Zugang, einige mitten in Abschlussprüfungen.

Vier Monate später warnte das FBI seine eigenen Mitarbeiter. ShinyHunters behauptete, sensible Daten von der Jobbörse des Bureaus gestohlen zu haben und rächte den Hack für diese Mai-Warnung. Ein internes Memo besagte, dass Beamte davon ausgehen, dass die Informationen aller FBI-Mitarbeiter offengelegt worden seien.

Die FBI-Sicherheitsverletzung war der lauteste von mehreren Angriffen in diesem Monat. ShinyHunters behaupteten außerdem, die Darknet-Website von Cl0p, einer rivalisierenden Erpressungsgruppe, beschlagnahmt und zu einem Erpressungsziel gemacht zu haben. Unterdessen dokumentierten Google-Gefahrforscher eine erneute Kampagne gegen Unternehmen und Schulen, die Oracle PeopleSoft nutzen.

Dann sprach das FBI direkt mit den Hackern. Am 29. September, nachdem die niederländische Polizei einen Mann festgenommen hatte, den das FBI als "einen der mutmaßlichen Anführer" von ShinyHunters bezeichnete, veröffentlichte FBI-stellvertretender Direktor Brett Leatherman eine direkte Videobotschaft: "Ihr wisst, wie ihr uns findet, und wir wissen, wie wir euch finden."

Während die jüngsten Angriffe von ShinyHunters das Gebiet ins Rampenlicht gerückt haben, ist die Lehre für Verteidiger vertraut: Ein Angreifer kann durch ausgeklügelte Social Engineering, eine Cloud-App oder eine Software-Schwachstelle eindringen. Aber was als Nächstes passiert, hängt von den Zugängen und Verbindungen ab, die nach dem ersten Stich verfügbar sind. Die Cyberangriffe von ShinyHunters in den letzten Jahren zeigen, warum Organisationen offene Häfen identifizieren, Lateral Movement einschränken und verdächtige Aktivitäten eindämmen müssen, bevor sich ein einzelner Kompromittering ausbreiten kann.

Wer steckt hinter ShinyHunters?

ShinyHunters wurde erstmals 2020 dafür bekannt, große Mengen Kundendaten zu stehlen und zu verkaufen. Heute ist sie Teil eines lockeren Netzwerks von Cyberkriminellen, deren Partnerschaften und Taktiken grenzüberschreitend wirken. Die Google Threat Intelligence Group verfolgt mehrere Cluster, die mit der ShinyHunters-Marke der Erpressung verbunden sind. Forscher haben außerdem überlappende Taktiken und Anzeichen einer Zusammenarbeit mit Scattered Spider festgestellt. Dazu gehören Voice-Phishing oder Vishing-Anrufe, die sich als IT-Support ausgeben, um in Cloud-Apps einzudringen. Diese Überschneidungen verwischen die Grenzen zwischen Gefahrgruppen. Das macht es schwieriger zu erkennen, wer den Angriff ausgeführt hat.

Das FBI warnt , dass ShinyHunters Opfer und ihre Familien mit Gefahren und manchmal mit falschen Notrufen unter Druck setzen können, die die Polizei zu ihren Häusern schicken. Die Gruppe kann auch ihren Zugang oder die Menge der gestohlenen Daten übertreiben.

Zeitstrahl der Angriffe von ShinyHunters

• 2020: ShinyHunters erregte Aufmerksamkeit, indem sie große Mengen gestohlener Daten verkauften. Dazu gehörten Unterlagen von Tokopedia und Unacademy, einer Bildungsplattform.
• 2024: Die Gruppe behauptete, Daten über 560 Millionen Ticketmaster-Kunden gestohlen zu haben. AT&T verlor außerdem Kundenanruf- und Textaufzeichnungen und soll Berichten zufolge einen Hacker bezahlt haben, diese zu löschen. Beide Vorfälle betrafen Daten, die in Snowflake-Kundenkonten gespeichert wurden. Die Ermittler stellten fest, dass Angreifer gestohlene Logins verwendeten.
• 2025: In einer Kampagne, die sich gegen Salesforce-Kunden richtete, gaben sich die Angreifer als IT-Support-Mitarbeiter aus. Sie riefen Mitarbeiter an und täuschten sie, damit sie eine App genehmigten, die es den Angreifern erlaubte, Daten zu stehlen.
• Anfang 2026: Forscher fanden heraus , dass Angreifer Telefonanrufe und gefälschte Anmeldeseiten nutzten, um Passwörter und Sicherheitscodes zu stehlen und Zugang zu sensiblen Daten zu erhalten.
• Mai 2026: ShinyHunters behauptete einen Angriff auf Canvas, der die Plattform für Schulen im ganzen Land offline schaltete. Das FBI warnte die Öffentlichkeit am 15. Mai.
• Mai–Juni 2026: In einer separaten Kampagne stellte Mandiant fest, dass Angreifer einen Fehler in Oracle PeopleSoft nutzten, um eine Sicherheitsverletzung von Schulen und Universitäten zu verursachen.
• August 2026: Der Anbieter von Bankentechnologie Jack Henry bestätigte einen ShinyHunters-Angriff, der mit Voice-Phishing begann. Das Unternehmen erklärte, dass seine Kernbankplattformen weder zugänglich noch gestört wurden und dass es die Erpressungsforderung nicht zahlen werde.
• September 2026: ShinyHunters behauptete, die Cl0p-Seite übernommen zu haben und eine Bezahlung von der rivalisierenden Verbrechergruppe zu fordern. Wenige Tage später behauptete sie einen Angriff auf die Jobbörse des FBI, die das FBI angeblich untersuchte. Am 25. September meldete Mandiant eine weitere Welle von PeopleSoft-Angriffen in mehreren Branchen.

Die Cl0p-Folge zeigt das Muster in Miniatur. ShinyHunters gab an, einen Fehler in der Software hinter der Website des Konkurrenten gefunden zu haben. Von dort aus behauptete es, Cl0ps Quellcode, Protokolle und die Schlüssel zu seiner Darknet-Adresse zu übernehmen. Dann forderte es eine Bezahlung. Eine Schwachstelle öffnete die Tür zu allem dahinter.

Was passiert nach dem Foothold?

In der PeopleSoft-Untersuchung stellte Mandiant fest, dass Angreifer Passwörter versuchten, um andere interne Server zu erreichen. Das Einbrechen gab ihnen einen Ausgangspunkt. Offene Verbindungen gaben ihnen Orte, an die sie gehen konnten. In der Septemberwelle installierte Mandiant die Gruppe Tunneling-Tools , die es ihr ermöglichten, interne Netzwerke zu erkunden und seitlich vom PeopleSoft-Server zu wechseln.

Für Christer Swartz, Direktor für Branchenlösungen bei Illumio, ist die Einstiegsmethode nur der Anfang der Geschichte. "Irgendwann wird eine Gefahr landen", sagte Swartz. "Und es wird versuchen, sich über die Umgebung zu bewegen." Ein Server kann beispielsweise Zugriff auf eine Datenbank benötigen, hat aber wenig Grund, eine lange Liste von Peer-Servern zu kontaktieren. Dieser Unterschied kann Verteidiger helfen, einen Angreifer zu erkennen, der nach einer Möglichkeit zur Bewegung sucht. Swartz skizzierte drei Möglichkeiten, wie Verteidiger diese Reichweite begrenzen können.

Visualisieren Sie die Bewegung

Ein gestohlenes Passwort kann einen Angreifer wie einen legitimen Nutzer erscheinen lassen. Ihre nächsten Handlungen könnten eine andere Geschichte erzählen. Ein Server, der normalerweise mit einer Datenbank kommuniziert, könnte plötzlich versuchen, mehrere nahegelegene Systeme zu erreichen. Wiederholte fehlgeschlagene Verbindungen könnten darauf hindeuten, dass jemand Passwörter errät. Ein großer Datentransfer könnte ebenfalls eine genauere Betrachtung erfordern. "Es ist entscheidend, alle Bewegungen sehen zu können", sagte Swartz. Zu wissen, welche Verbindungen normal sind, hilft den Teams, Veränderungen zu erkennen und zu entscheiden, wo sie ermitteln sollen.

Schließen Sie unnötige Wege

Transparenz hilft Teams außerdem dabei, herauszufinden, welche Verbindungen ein System benötigt. Die Segmentierung kann dann den Rest einschränken und einem Angreifer weniger Routen zu anderen Systemen und kritischen Assets ermöglichen. "Schließen Sie alle Sitzungen, die nicht benötigt werden", sagte Swartz.

Erlaubte Verbindungen brauchen ebenfalls Aufmerksamkeit. Ein Angreifer kann ein gültiges Konto und einen legitimen Weg verwenden, daher müssen Verteidiger darauf achten, wie diese Verbindungen genutzt werden.

Verdächtige Aktivitäten eindämmen

Teams kennen nicht immer das volle Ausmaß einer Sicherheitsverletzung, sobald sie ihn zum ersten Mal erkennen. Wenn man sieht, wie ein kompromittierter Server versucht, andere Systeme zu erreichen, kann das ihnen helfen zu entscheiden, was isoliert werden soll. Swartz sagte, Teams bräuchten einen klaren Grund, um ein System in Quarantäne zu stellen. Ein Login mit gültigen Zugangsdaten wirkt vielleicht nicht verdächtig, "bis er sich merkwürdig verhält und sich merkwürdig verhält."

Die Eindämmung kann diese Bewegung unterbrechen, während die Einsatzkräfte ermitteln. Wenn Angreifer auch Cloud-Sitzungen halten oder über verbundene Apps zugreifen, müssen Teams diesen Zugriff ebenfalls widerrufen.

Ein Tritt sollte nicht zu einer größeren Sicherheitsverletzung werden

Leatherman sagte ShinyHunters, das FBI weiß, wie man sie findet. Innerhalb ihrer eigenen Netzwerke müssen Verteidiger dasselbe sagen können. Das nächste Ziel von ShinyHunters könnte eine Schule, eine Bank oder eine andere rivalisierende Gang sein, und ihr Weg dorthin wird wahrscheinlich neu sein. Die folgende Frage bleibt dieselbe: Wie weit können Angreifer gehen, wenn sie einmal landen? Teams, die sehen, wie ihre Systeme verbunden sind, die nicht benötigten Wege schließen und ein kompromittiertes System schnell isolieren können, haben eine bessere Antwort. So bleibt ein Standpunkt ein Tritt, anstatt die nächste Schlagzeile zu werden.

Angreifer werden Wege hineinfinden. Wichtig ist, wie weit sie gehen können, wenn sie dort sind.

Illumio hilft dir, Angriffswege zu visualisieren, Lateral Movement zu begrenzen und Gefahren einzudämmen, bevor sie sich ausbreiten.

Sehen Sie, wie Illumio Verletzungen eindämmt.