Компанія з кібербезпеки ReliaQuest підтвердила, що одного з її співробітників було атаковано за допомогою соціальної інженерії, коли хакери видали себе за члена команди безпеки.
У заяві, опублікованій на вихідних, ReliaQuest повідомила, що зловмисник телефонував кільком співробітникам і намагався обманом змусити їх перейти на «фейкову сторінку єдиного входу (SSO) ReliaQuest, розміщену за мережею доставки контенту».
Минулого тижня команда Threat Research компанії ReliaQuest у тепер уже видаленому дописі повідомила, що банда здирників ShinyHunters реєструє домени .claims для видачі себе за служби підтримки та ІТ-команди компаній.
«ReliaQuest відстежує масштабну кампанію ShinyHunters, яка використовує домени за схемою company[.]claims. Ці домени включають назву цільової організації або її скорочення під доменом верхнього рівня .claims», — йдеться в повідомленні компанії на X.
Учора новий обліковий запис X, який, як вважається, пов’язаний зі зловмисниками, відповів на допис, заявивши: «Хто на кого полює?», та опублікувавши скріншоти, що, здавалося, демонстрували скомпрометований обліковий запис Okta SSO для співробітника ReliaQuest.
Невдовзі після цього ShinyHunters опублікували ті ж скріншоти в новому записі на своєму сайті витоку даних.
Повідомлення як ReliaQuest, так і передбачуваного зловмисника пізніше були видалені з X.
За даними компанії, зловмисник розмістив фішингову сторінку на «схожому домені», який, як стало відомо BleepingComputer з джерел, був reliaquest.claims, і використовував ім’я реального співробітника служби безпеки під час спроб вішингу.
Один зі співробітників, якого було атаковано, потрапив на приманку зловмисника, ввів свої облікові дані на фейковій сторінці SSO та схвалив push-сповіщення MFA, надавши зловмиснику тимчасовий доступ лише для перегляду до інформаційної панелі ідентифікації ReliaQuest.
Однак, за даними компанії, елементи керування довірою до пристроїв успішно заблокували подальші спроби доступу до програм через інформаційну панель.
«Обсяг доступу був лише для перегляду. До жодних програм чи систем ReliaQuest доступу не було, і жодні дані клієнтів не були зачеплені», — заявляє ReliaQuest.
«Зловмисник продовжував спроби отримати доступ до цих програм з інформаційної панелі, але постійно отримував відмову через наявні заходи безпеки».
Фірма з кібербезпеки повідомила, що вона завершила сеанси зловмисника, відкликала скомпрометований пароль та скинула всі токени автентифікації.
Наступне розслідування не виявило жодних доказів доступу до інших облікових записів, програм чи даних, і жодних ознак того, що зловмисник закріпився в системах ReliaQuest.
Фірма провела аудит відповідності своїх контролів, довіри до пристроїв та доступу в мережі з 21 серпня і не виявила жодної підозрілої активності.
ShinyHunters стверджує, що здійснила атаку
Заява ReliaQuest з’явилася невдовзі після того, як відома група здирників даних ShinyHunters заявила про атаку на компанію.
У новому повідомленні на своєму порталі здирництва ShinyHunters посилається на попередні звіти ReliaQuest про цю групу зловмисників, заявляючи: «цього разу допис про вас, а не про нас».
Зловмисники опублікували докази доступу, показавши, що вони успішно зламали обліковий запис Okta SSO ReliaQuest.
Ми запитали ReliaQuest, чи пов’язаний розкритий інцидент із ShinyHunters, але поки не отримали жодної додаткової інформації.
Однак ShinyHunters повідомили BleepingComputer, що їхній доступ був лише для перегляду, і вони не отримали доступу до жодних програм, систем чи даних клієнтів.
«Жодних додаткових ідентичностей не було отримано, жодних бізнес-додатків не досягнуто, жодних даних клієнтів чи ReliaQuest, окрім облікових даних користувача, не було отримано, і жодного закріплення не встановлено», — повідомив нам зловмисник.
Коли зловмисники мають дійсні облікові дані, блокується лише 37% їхніх дій
Загальні показники запобігання можуть приховувати те, що відбувається після початкового доступу. Коли зловмисники використовують дійсні облікові дані, запобігання різко знижується.
Звіт Blue Report 2026 вимірює захист за методами на основі 338 мільйонів симуляцій, проведених у виробничих середовищах клієнтів.
Отримати звіт
Пов’язані статті:
Витік даних RingCentral розкрив інформацію про 1,6 мільйона облікових записів
Сучасний ланцюг атак: переосмислення безпеки Google Workspace в епоху ШІ
Levi Strauss & Co. повідомляє, що хакери викрали корпоративні дані під час кібератаки
Чоловіка засудили до шести років за злам 750 акаунтів Snapchat у жінок
Вебінар завтра: Чому сучасні атаки на електронну пошту вимагають нового підходу до захисту
- Фішинг
- ReliaQuest
- Витік безпеки
- ShinyHunters
- Соціальна інженерія
- SSO
Подробиці можна знайти на сайті: www.bleepingcomputer.com