O grupo ShinyHunters invadiu o site de empregos do FBI. O que revela sua onda de ataques?
Em maio, o FBI alertou o público sobre o grupo ShinyHunters depois que o grupo reivindicou um ataque ao Canvas, uma plataforma de aprendizagem usada por escolas e universidades. Alunos e educadores de todo o país perderam o acesso, alguns no meio dos exames finais.
Quatro meses depois, o FBI estava alertando seus próprios funcionários. O grupo ShinyHunters alegou ter roubado dados confidenciais do site de empregos do órgão e classificou o ataque como uma retaliação pelo aviso dado em maio. Um memorando interno indicava que as autoridades presumiam que as informações de todos os funcionários do FBI haviam sido expostas.
A violação de dados do FBI foi o ataque mais notório de vários ocorridos naquele mês. O grupo ShinyHunters também alegou ter tomado o controle do site da dark web pertencente ao Cl0p, um grupo rival de extorsão, e o transformado em alvo de extorsão. Entretanto, pesquisadores de ameaças do Google documentaram uma campanha renovada contra empresas e escolas que utilizam o Oracle PeopleSoft.
Em seguida, o FBI falou diretamente com os hackers. Em 29 de setembro, após a polícia holandesa prender um homem que o FBI chamou de "um dos supostos líderes" do ShinyHunters, o diretor assistente do FBI, Brett Leatherman, publicou uma mensagem de vídeo direta: "Vocês sabem como nos encontrar e nós sabemos como encontrar vocês."
Embora os ataques recentes do ShinyHunters o tenham colocado em evidência, a lição para os defensores é familiar: um invasor pode obter acesso usando engenharia social sofisticada, um aplicativo em nuvem ou uma vulnerabilidade de software. Mas o que acontece a seguir depende do acesso e das conexões disponíveis após a conquista do primeiro ponto de apoio. Os ciberataques da ShinyHunters nos últimos anos demonstram por que as organizações precisam identificar portas abertas, limitar o movimento lateral e conter atividades suspeitas antes que uma única falha de segurança possa se alastrar.
Quem está por trás do ShinyHunters?
A ShinyHunters ficou conhecida em 2020 por roubar e vender grandes quantidades de dados de clientes. Hoje, faz parte de uma rede informal de cibercriminosos cujas parcerias e táticas ultrapassam fronteiras. O Grupo de Inteligência de Ameaças do Google monitora diversos grupos ligados ao esquema de extorsão do grupo ShinyHunters. Os pesquisadores também encontraram táticas semelhantes e indícios de colaboração com a aranha-espalhada. Isso inclui ligações de phishing por voz, ou vishing, que se fazem passar por suporte de TI para obter acesso a aplicativos na nuvem. Essas sobreposições confundem as linhas divisórias entre os grupos de ameaça. Isso torna mais difícil determinar quem realizou o ataque.
O FBI alerta que os caçadores de animais brilhantes podem pressionar as vítimas e suas famílias com ameaças e, às vezes, com trotes para o serviço de emergência que levam a polícia até suas casas. O grupo também pode exagerar o acesso que teve ou a quantidade de dados roubados.
Cronologia dos ataques dos Caçadores de Brilhantes
- 2020: O grupo ShinyHunters ganhou notoriedade ao vender grandes conjuntos de dados roubados. Isso incluiu registros da Tokopedia e da Unacademy, uma plataforma educacional.
- 2024: O grupo alegou ter roubado dados de 560 milhões de clientes da Ticketmaster. A AT&T também perdeu registros de chamadas e mensagens de texto de clientes e, segundo relatos, pagou um hacker para apagá-los. Ambos os incidentes envolveram dados armazenados em contas de clientes da Snowflake. Os investigadores descobriram que os atacantes usaram logins roubados.
- 2025: Em uma campanha direcionada a clientes da Salesforce, os atacantes se fizeram passar por funcionários de suporte de TI. Eles ligaram para os funcionários e os enganaram para que aprovassem um aplicativo que permitia aos invasores roubar dados.
- Início de 2026: Pesquisadores descobriram que os invasores usaram ligações telefônicas e páginas de login falsas para roubar senhas e códigos de segurança para acesso a dados confidenciais.
- Maio de 2026: O grupo ShinyHunters reivindicou um ataque ao Canvas que deixou a plataforma offline para escolas em todo o país. O FBI alertou o público em 15 de maio.
- Maio-junho de 2026: Em uma campanha separada, a Mandiant descobriu que invasores usaram uma falha no Oracle PeopleSoft para violação de dados escolas e universidades.
- Agosto de 2026: A provedora de tecnologia bancária Jack Henry confirmou um ataque do ShinyHunters que começou com phishing por voz. A empresa afirmou que suas principais plataformas bancárias não foram acessadas nem interrompidas e que não pagaria a exigência de extorsão.
- Setembro de 2026: O grupo ShinyHunters alegou ter assumido o controle do site do Cl0p e exigiu pagamento do grupo criminoso rival. Dias depois, reivindicou um ataque ao site de empregos do FBI, que a agência disse estar investigando. Em 25 de setembro, a Mandiant relatou mais uma onda de ataques ao PeopleSoft em diversos setores.
O episódio Cl0p mostra o padrão em miniatura. A ShinyHunters afirmou ter encontrado uma falha no sistema de upload de arquivos do software do site concorrente. A partir daí, alegou ter obtido o código-fonte, os registros e as chaves de acesso ao endereço da dark web do Cl0p. Em seguida, exigiu o pagamento. Um único ponto fraco abria a porta para tudo o que estava atrás dele.
O que acontece depois de conquistarmos o espaço?
Em sua investigação sobre o PeopleSoft, a Mandiant descobriu que os invasores tentaram usar senhas para acessar outros servidores internos. A invasão lhes deu um ponto de partida. As conexões abertas proporcionaram-lhes lugares para ir. Na onda de setembro, a Mandiant observou o grupo instalar ferramentas de tunelamento que permitiam explorar redes internas e se movimentar lateralmente a partir do servidor PeopleSoft.
Para Christer Swartz, diretor de soluções industriais da Illumio, o método de entrada é apenas o começo da história. “Eventualmente, uma ameaça se concretizará”, disse Swartz. “E pretende expandir-se por todo o ambiente.” Um servidor pode precisar acessar um banco de dados, por exemplo, mas pode não ter muitos motivos para contatar uma longa lista de servidores pares. Essa diferença pode ajudar os defensores a identificar um atacante procurando uma brecha para se movimentar. Swartz descreveu três maneiras pelas quais os defensores podem limitar esse alcance.
Visualize o movimento
Uma senha roubada pode fazer com que um invasor pareça um usuário legítimo. Suas próximas ações podem contar uma história diferente. Um servidor que normalmente se comunica com um único banco de dados pode, de repente, tentar acessar vários sistemas próximos. Falhas repetidas na conexão podem indicar que alguém está tentando adivinhar as senhas. Uma grande transferência de dados também pode justificar uma análise mais detalhada. “É fundamental poder ver todos os movimentos”, disse Swartz. Saber quais conexões são normais ajuda as equipes a identificar mudanças e decidir onde investigar.
Fechar caminhos desnecessários
A visibilidade também ajuda as equipes a determinar quais conexões um sistema precisa. A segmentação pode então restringir o restante, oferecendo ao invasor menos rotas de acesso a outros sistemas e ativos críticos. “Encerrem todas as sessões que não forem necessárias”, disse Swartz.
As conexões permitidas também precisam de atenção. Um atacante pode usar uma conta válida e um caminho legítimo, portanto, os defensores devem monitorar como essas conexões são utilizadas.
Contenha atividades suspeitas
As equipes nem sempre têm conhecimento da extensão total de uma violação de dados quando a detectam pela primeira vez. Ao observar um servidor comprometido tentando acessar outros sistemas, a equipe pode decidir o que isolar. Swartz disse que as equipes precisam de um motivo claro para colocar um sistema em quarentena. Um login com credenciais válidas pode não parecer suspeito "até que comece a se comportar de forma estranha".
O confinamento pode interromper esse movimento enquanto as equipes de resposta investigam. Se os invasores também mantiverem sessões na nuvem ou acessarem o sistema por meio de aplicativos conectados, as equipes precisarão revogar esse acesso também.
Um ponto de apoio não deve se transformar em uma violação de dados.
Leatherman disse ao ShinyHunters que o FBI sabe como encontrá-los. Dentro de suas próprias redes, os defensores precisam ser capazes de dizer a mesma coisa. O próximo alvo dos ShinyHunters pode ser uma escola, um banco ou outra gangue rival, e sua estratégia de infiltração provavelmente será inédita. A questão que se segue permanece a mesma: uma vez que os atacantes aterrissam, até onde podem ir? As equipes que conseguem visualizar como seus sistemas se interconectam, fechar os caminhos desnecessários e isolar rapidamente um sistema comprometido terão uma resposta melhor. É assim que um ponto de apoio se mantém
em
de se tornar a próxima manchete.Os atacantes encontrarão maneiras de entrar. O que importa é até onde eles podem ir depois de entrarem.
O Illumio ajuda você a visualizar trajetórias de ataque, limitar movimentos laterais e conter ameaças antes que elas se espalhem.
.webp)
