A ShinyHunters újabb csapást mért: milliók adatai forognak kockán

A ShinyHunters nevű hackercsoport újabb áldozatokat szedett: a Panera Bread amerikai pékséglánc, a használt autók adásvételével foglalkozó CarMax, illetve az autós véleményportál Edmunds is nagyszabású adatlopás áldozatává váltak. A bűnözők több mint 14 millió Panera-ügyfél nevét, e-mail- és lakcímét, telefonszámát és fiókadatait szerezték meg – a zsákmány összesen 760 MB tömörített adatot tett ki. A CarMaxtól több mint 500 ezer rekordot (1,7 GB-ot), az Edmundstól pedig „milliókat” (összesen 12 GB-ot) loptak el.

Az MI-csalik és a hangalapú támadások új hulláma

A ShinyHunters elmondása szerint a Panera rendszerébe a Microsoft Entra egyszeri bejelentkezésén (SSO) keresztül jutottak be. A CarMax és az Edmunds adatainak megszerzése egyéb, korábbi adatszivárgásokból származott. Mindhárom vállalat nem reagált a megkeresésekre, nem kommentálta az eseteket.

A bűnbanda egyre gyakrabban használja a társadalmi manipuláció módszereit: az IT-támogatást mímelő támadók telefonon veszik fel a kapcsolatot a dolgozókkal, majd egy hamis weboldalra irányítják őket, amely első ránézésre megegyezik az eredeti Okta-bejelentkezési oldallal. Így kicsalják a jelszót, majd valós időben megkerülik a többlépcsős azonosítást is.

Már startupokat is támadnak

A Panera, a CarMax és az Edmunds mellett az elmúlt hetekben a Crunchbase, a SoundCloud és a Betterment is áldozatul esett. Ezekből az adatszivárgásokból a hackerek összesen több mint 50 millió rekordhoz jutottak. A Crunchbase és a Betterment esetében szintén Okta-alapú, telefonos adathalászattal csaltak ki belépési adatokat.

Egyes esetekben nemcsak adatokat loptak, hanem a támadók a feltört rendszeren keresztül közvetlenül el is érték az ügyfeleket: például a Bettermentnél kriptós átverő üzenetet küldtek ki a platform felhasználóinak.

Új hullám, új áldozatok

A biztonsági szakértők szerint az utóbbi hónapban a csoport több tucat cég ellen indított támadást, és számos szervezetet vizsgálnak jelenleg is. A ShinyHunters most főként az egyszeri bejelentkezéses (SSO) rendszerek megszerzésére specializálódott – ezek birtokában tetszőleges belső rendszerekhez férhet hozzá, és akár az eddig feltörhetetlennek hitt kétlépcsős azonosítás is értelmét veszti. Az érintett vállalatok többsége továbbra is hallgat.

2025, adrienne, go.theregister.com alapján