Le groupe de cyber-extorsion ShinyHunters affirme avoir piraté le FBI et obtenu des données sensibles concernant ses employé·e·s. Il affirme avoir également attaqué Cl0p, un autre groupe de ransomware bien connu.

Le FBI a pris acte de ces allégations et mène actuellement l’enquête. Il n’a pas confirmé si une intrusion avait bien eu lieu ni si des données avaient été volées. 

« Les groupes comme ShinyHunters recherchent autant l’impact médiatique que la valeur des données dérobées », souligne Benoit Grunemwald, expert en Cybersécurité chez ESET France. « Revendiquer une compromission d’une institution mondialement connue telle que le FBI, leur permet d’accroître leur visibilité et leur crédibilité auprès de l’écosystème cybercriminel. Si les allégations étaient confirmées, l’enjeu ne se limiterait pas à la fuite de données personnelles, il concernerait également la protection des accès, la sécurité de la chaîne de sous-traitance et la capacité de ce type d’organisations à détecter rapidement les compromissions dans leurs environnements les plus critiques ».

ShinyHunters aurait exploité une vulnérabilité jusque-là inconnue d’Oracle PeopleSoft. Le groupe de rançongiciel affirme que son attaque constituait une riposte à un avis du FBI qui établissait un lien entre ShinyHunters et des activités de cybercriminalité antérieures et mettait en garde les victimes contre le paiement des rançons exigées.

« ShinyHunters a démontré à plusieurs reprises qu’il ne se résume pas à un groupe fixe d’individus ou à une infrastructure donnée. Il s’agit d’une marque criminelle résiliente qui a survécu aux opérations de démantèlement, aux arrestations et aux saisies de forums en faisant évoluer ses méthodes et en attirant de nouveaux opérateurs. Récemment, son mode opératoire a surtout consisté à exploiter des mécanismes de confiance liés aux identités, notamment par le biais de techniques d’ingénierie sociale visant les services d’assistance, d’applications OAuth malveillantes et de jetons d’intégration SaaS volés, plutôt qu’à simplement franchir un périmètre technique. C’est là l’enseignement le plus important. Les organisations, y compris les administrations publiques, doivent protéger les identités et les relations de confiance avec des tiers que les attaquants cherchent de plus en plus à exploiter », prévient Etay Maor, vice president of Threat Intelligence chez Cato Networks.

Pierre-Loïc Kuhn, spécialiste en cybersécurité chez Filigran, rappelle que ShinyHunters vient également d’attaquer Cl0p. Et d’affirmer : « Les acteurs malveillants ont eux aussi leurs propres surfaces d’attaque et risques opérationnels. ShinyHunters a démontré que les attaques modernes n’épargnent personne, pas même d’autres cybercriminels. Les groupes de ransomware évoluent dans un écosystème concurrentiel, se disputant les victimes, les revenus et la réputation, si bien que leurs rivaux deviennent souvent des cibles de choix. Défacer le site d’un adversaire peut aussi servir d’opération de communication, et ici, il n’aurait fallu qu’une simple faille de téléversement de fichiers non authentifiée dans l’infrastructure même de Clop pour y parvenir. En définitive, cet incident montre à quel point l’écosystème cybercriminel clandestin est volatil ».

Enfin, Sekoia vient de publier une enquête menée avec Beazley Security sur les coulisses et l’évolution de ShinyHunters depuis 2020. Cette enquête revient sur les opérateurs français associés à l’écosystème ShinyHunters et explique comment une marque née dans un environnement en partie français est devenue une structure internationale et particulièrement résiliente.

ShinyHunters voulait sans aucun doute revenir sur le devant de l’actualité cyber cet automne et le moins que l’on puisse dire, c’est que c’est réussi.

Nos lecteurs ont lu ensuite