ReliaQuest ha confermato di aver bloccato un attacco di social engineering condotto dal gruppo ShinyHunters, che ha ottenuto solo un accesso temporaneo e limitato senza compromettere dati aziendali o dei clienti.
ReliaQuest, azienda specializzata in cybersecurity, ha reso noto di aver respinto un tentativo di attacco di social engineering che ha preso di mira alcuni suoi dipendenti. Gli aggressori, fingendosi membri del team di sicurezza, hanno contattato più persone all'interno dell'azienda cercando di convincerle ad accedere a una falsa pagina di single sign-on (SSO) creata appositamente per carpire le credenziali.
Secondo quanto dichiarato da ReliaQuest, la campagna era orchestrata dal gruppo ShinyHunters, noto per le attività di estorsione digitale. Il gruppo aveva registrato domini .claims simili a quelli aziendali, come _reliaquest.claims_, per rendere più credibile il tentativo di phishing. In almeno un caso, un dipendente ha inserito le proprie credenziali sulla pagina falsa e ha approvato una notifica MFA, consentendo agli attaccanti un accesso temporaneo e in sola lettura al dashboard delle identità di ReliaQuest.
Accesso limitato e nessun impatto sui dati
ReliaQuest ha sottolineato che, grazie ai controlli di sicurezza implementati, gli aggressori non sono riusciti ad accedere ad applicazioni aziendali, sistemi interni o dati dei clienti. L'accesso ottenuto era esclusivamente di tipo "view-only" e ogni tentativo successivo di espandere i privilegi è stato bloccato dai sistemi di device trust e autenticazione. L'azienda ha immediatamente revocato le sessioni sospette, cambiato le password coinvolte e resettato i token di autenticazione.
Le indagini interne non hanno rilevato ulteriori compromissioni, accessi ad altri account o tentativi di persistenza nei sistemi. ReliaQuest ha inoltre effettuato un audit retrospettivo delle attività dal 21 agosto, senza riscontrare anomalie o attività sospette.
La rivendicazione di ShinyHunters e il contesto degli attacchi
Poco dopo la comunicazione di ReliaQuest, ShinyHunters ha pubblicato sul proprio portale di estorsione alcune schermate che dimostrerebbero l'accesso a un account Okta SSO di un dipendente. Tuttavia, sia l'azienda sia gli stessi attaccanti hanno confermato che non sono stati raggiunti dati sensibili, applicazioni o sistemi critici. ShinyHunters ha dichiarato che l'accesso era limitato e non ha permesso di ottenere informazioni aggiuntive o stabilire una presenza duratura nei sistemi ReliaQuest.
Questo episodio si inserisce in un contesto di crescente sofisticazione degli attacchi di social engineering contro aziende del settore finanziario e tecnologico. Recentemente, anche altri operatori sono stati presi di mira da campagne di vishing e phishing, come evidenziato nell'analisi sugli attacchi contro hedge fund pubblicata su QWERTYmag.
Lezioni apprese e raccomandazioni
ReliaQuest invita le aziende a rafforzare la formazione dei dipendenti sulle tecniche di social engineering e a monitorare costantemente i tentativi di accesso sospetti, soprattutto quando vengono utilizzati domini simili a quelli ufficiali. L'episodio conferma l'importanza di controlli di device trust e autenticazione multifattore per limitare i danni anche in caso di compromissione delle credenziali.
