ShinyHunters a piraté le site d’emplois du FBI. Que révèle sa série d’attaques ?

En mai, le FBI a mis en garde le public contre ShinyHunters après que le groupe a affirmé une attaque contre Canvas, une plateforme d’apprentissage utilisée par les écoles et les universités. Des élèves et des enseignants à travers le pays ont perdu l’access, certains en plein milieu des examens finaux.

Quatre mois plus tard, le FBI mettait en garde ses propres employés. ShinyHunters a affirmé avoir volé des données sensibles sur le site d’emploi du bureau et a déclaré que le piratage était vengé pour cet avertissement de mai. Un mémo interne indiquait que les responsables supposaient que les informations de tous les employés du FBI avaient été exposées.

La violation du FBI a été la plus bruyante de plusieurs attaques ce mois-là. ShinyHunters a également affirmé avoir saisi le site web obscur de Cl0p, un groupe rival d’extorsion, et l’avoir transformé en cible d’extorsion. Parallèlement, des chercheurs sur les menaces de Google ont documenté une campagne renouvelée contre les entreprises et les écoles utilisant Oracle PeopleSoft.

Ensuite, le FBI a parlé directement aux hackers. Le 29 septembre, après que la police néerlandaise a arrêté un homme que le FBI qualifiait de « l’un des prétendus leaders » de ShinyHunters, le directeur adjoint du FBI, Brett Leatherman, a publié un message vidéo franc: « Vous savez comment nous trouver, et nous savons comment vous trouver. »

Si les attaques récentes de ShinyHunters l’ont mis sous les projecteurs, la leçon pour les défenseurs est familière : un attaquant peut entrer en utilisant une ingénierie sociale sophistiquée, une application cloud ou une vulnérabilité logicielle. Mais ce qui se passe ensuite dépend de l’accès et des connexions disponibles après la première prise. Les cyberattaques de ShinyHunters menées ces dernières années montrent pourquoi les organisations doivent identifier les ports ouverts, limiter les mouvements latéraux et contenir les activités suspectes avant qu’une seule compromission ne puisse se propager.

Qui est derrière ShinyHunters ?

ShinyHunters s’est fait connaître en 2020 pour avoir volé et vendu de grandes quantités de données clients. Aujourd’hui, elle fait partie d’un réseau lâche de cybercriminels dont les partenariats et tactiques franchissent les frontières. Google Menace Intelligence Group suit plusieurs foyers liés à la marque d’extorsion ShinyHunters. Les chercheurs ont également trouvé des tactiques et des signes de collaboration avec l’araignée dispersée. Cela inclut le phishing vocal, ou vishing, appels qui se font passer pour le support informatique afin d’accéder aux applications cloud. Ces chevauchements brouillent les frontières entre les groupes de menaces. Cela rend plus difficile de savoir qui a commis une attaque.

Le FBI avertit que les ShinyHunters peuvent faire pression sur les victimes et leurs familles par des menaces et, parfois, de faux appels d’urgence qui envoient la police chez eux. Le groupe peut aussi exagérer son accès ou la quantité de données volées.

Chronologie des attaques des ShinyHunters

• 2020 : ShinyHunters a attiré l’attention en vendant de grands ensembles de données volées. Cela comprenait des archives de Tokopedia et Unacademy, une plateforme éducative.
• 2024 : Le groupe a affirmé avoir volé des données sur 560 millions de clients Ticketmaster. AT&T a également perdu les enregistrements d’appels et de SMS clients et aurait payé un hacker pour les supprimer. Les deux incidents impliquaient des données conservées dans les comptes clients de Snowflake. Les enquêteurs ont découvert que les agresseurs utilisaient des identifiants volés.
• 2025 : Dans une campagne ciblant les clients Salesforce, les attaquants se sont fait passer pour du support informatique. Ils ont appelé des employés et les ont piégés pour qu’ils approuvent une application permettant aux attaquants de voler des données.
• Début 2026 : Les chercheurs ont découvert que les attaquants utilisaient des appels téléphoniques et de fausses pages de connexion pour voler des mots de passe et des codes de sécurité permettant d’accéder à des données sensibles.
• Mai 2026 : ShinyHunters a revendiqué une attaque sur Canvas qui a mis la plateforme hors ligne des écoles à travers le pays. Le FBI a averti le public le 15 mai.
• Mai–juin 2026 : Dans une campagne distincte, Mandiant a découvert que les attaquants utilisaient une faille d’Oracle PeopleSoft pour violation des écoles et des universités.
• Août 2026 : Le fournisseur de technologies bancaires Jack Henry a confirmé une attaque ShinyHunters qui a commencé par un hameçonnage vocal. L’entreprise a déclaré que ses plateformes bancaires principales n’avaient pas été consultées ni perturbées et qu’elle ne paierait pas la demande d’extorsion.
• Septembre 2026 : ShinyHunters a affirmé avoir pris le contrôle du site de Cl0p et exigé un paiement du groupe criminel rival. Quelques jours plus tard, il a affirmé avoir été attaque contre le site d’emploi du FBI, que le bureau affirmait enquêter. Le 25 septembre, Mandiant a signalé une nouvelle vague d’attaques PeopleSoft dans plusieurs secteurs.

L’épisode de Cl0p montre le motif en miniature. ShinyHunters a indiqué avoir trouvé un défaut de téléchargement de fichier dans le logiciel derrière le site de son concurrent. À partir de là, il a affirmé prendre le code source de Cl0p, ses journaux et les clés de son adresse dark web. Puis il a exigé un paiement. Un point faible ouvrait la porte de tout ce qui se trouvait derrière.

Que se passe-t-il après la prise de pied ?

Dans son enquête PeopleSoft, Mandiant a découvert que les attaquants avaient tenté des mots de passe pour accéder à d’autres serveurs internes. Entrer par effraction leur a donné un point de départ. Les connexions ouvertes leur donnaient des endroits où aller. Lors de la vague de septembre, Mandiant a vu le groupe installer des outils de tunneling qui lui ont permis d’explorer les réseaux internes et de se déplacer latéralement depuis le serveur PeopleSoft.

Pour Christer Swartz, directeur des solutions industrielles chez Illumio, la méthode d’entrée n’est que le début de l’histoire. « Finalement, une menace finira par se faire sentir », dit Swartz. « Et il semblera se déplacer à travers l’environnement. » Un serveur peut avoir besoin d’accéder à une base de données, par exemple, mais il peut avoir peu de raisons de contacter une longue liste de serveurs pairs. Cette différence peut aider les défenseurs à repérer un attaquant cherchant un moyen de se déplacer. Swartz a exposé trois façons dont les défenseurs peuvent limiter cette portée.

Visualisez le mouvement

Un mot de passe volé peut faire passer un attaquant pour un utilisateur légitime. Leurs prochaines actions pourraient raconter une autre histoire. Un serveur qui communique habituellement avec une base de données pourrait soudainement essayer de joindre plusieurs systèmes voisins. Des échecs répétés peuvent indiquer que quelqu’un devine un mot de passe. Un transfert de données important pourrait également justifier un examen plus approfondi. « Il est essentiel de pouvoir voir tous les mouvements », a déclaré Swartz. Savoir quelles connexions sont normales aide les équipes à repérer les changements et à décider où enquêter.

Fermez les chemins inutiles

La visibilité aide également les équipes à déterminer quelles connexions un système a besoin. La segmentation peut alors restreindre le reste, offrant à un attaquant moins de routes vers d’autres systèmes et actifs critiques. « Arrêtez toutes les séances qui ne sont pas nécessaires », dit Swartz.

Les connexions autorisées nécessitent aussi de l’attention. Un attaquant peut utiliser un compte valide et un chemin légitime, donc les défenseurs doivent surveiller comment ces connexions sont utilisées.

Contenir des activités suspectes

Les équipes ne connaissent pas toujours l’ampleur complète d’une violation lorsqu’elles la détectent pour la première fois. Voir un serveur compromis essayer d’atteindre d’autres systèmes peut les aider à décider quoi isoler. Swartz a déclaré que les équipes ont besoin d’une raison claire de mettre un système en quarantaine. Un identifiant avec des identifiants valides peut ne pas paraître suspect « tant qu’il ne commence pas à se comporter de façon étrange ».

Le confinement peut interrompre ce mouvement pendant que les intervenants enquêtent. Si les attaquants détiennent aussi des sessions cloud ou un accès via des applications connectées, les équipes doivent également révoquer cet accédre.

Un seul point d’appui ne devrait pas devenir une violation plus large

Leatherman a dit à ShinyHunters que le FBI sait comment les trouver. Au sein de leurs propres réseaux, les défenseurs doivent pouvoir dire la même chose. La prochaine cible de ShinyHunters pourrait être une école, une banque ou un autre gang rival, et sa porte d’entrée sera probablement nouvelle. La question qui suit reste la même : une fois que les assaillants atterrissent, jusqu’où peuvent-ils aller ? Les équipes capables de voir comment leurs systèmes se connectent, de refermer les chemins inutiles et d’isoler rapidement un système compromis auront une meilleure réponse. C’est ainsi qu’un point d’appui reste un point d’appui au lieu de devenir le titre suivant.

Les attaquants trouveront des moyens d’entrer. Ce qui compte, c’est jusqu’où ils peuvent aller une fois sur place.

Illumio vous aide à visualiser les trajectoires d’attaque, à limiter les mouvements latéraux et à contenir les menaces avant qu’elles ne se propagent.

Regarde comment Illumio contient des violations.