ReliaQuest 确认 ShinyHunters 入侵后数据窃取攻击未遂

网络安全公司ReliaQuest证实，一名员工在一次社会工程攻击中成为目标，黑客伪装成安全团队成员进行欺骗。

ReliaQuest在周末的声明中表示，攻击者多次致电员工，试图诱骗他们访问“一个位于内容分发网络后的伪造ReliaQuest单点登录（SSO）页面”。

上周，ReliaQuest的威胁研究团队在一篇现已删除的帖子中表示，勒索组织ShinyHunters正在注册.claims域名，以冒充公司帮助台和IT团队。

“ReliaQuest正在追踪一场大规模的ShinyHunters活动，使用遵循company[.]claims模式的域名。这些域名在.claims顶级域下包含目标组织的名称或缩写，”该公司在X上的帖子中写道。

昨日，一个新建的X账户（据信与威胁行为者有关）回复了该帖子，称“谁在追捕谁？”，并分享了看似已入侵的ReliaQuest员工Okta SSO账户的截图。

不久后，ShinyHunters在其数据泄露网站上发布了相同截图。

ReliaQuest和该疑似威胁行为者的帖子随后均被从X上删除。

据该公司称，威胁行为者将钓鱼页面托管在“仿冒域名”上，BleepingComputer从消息来源获悉该域名为reliaquest.claims，并在语音钓鱼尝试中使用了真实安全员工的名字。

一名被针对的员工中了攻击者的圈套，在伪造SSO页面输入了凭据，并批准了MFA推送通知，使攻击者获得了ReliaQuest身份仪表板的临时、只读访问权限。

然而，据该公司称，设备信任控制成功阻止了后续通过仪表板访问应用程序的尝试。

“访问范围仅为只读。未访问任何ReliaQuest应用程序或系统，也未触及任何客户数据，”ReliaQuest表示。

“威胁行为者继续尝试从仪表板访问这些应用程序，但由于已实施的安全控制，均被持续拒绝。”

该网络安全公司表示已终止攻击者会话、撤销已泄露密码并重置所有身份验证令牌。

随后的调查未发现访问其他账户、应用程序或数据的证据，也无迹象表明行为者在ReliaQuest系统上建立了持久化。

该公司自8月21日起对其控制保真度、设备信任和网络内访问进行了审计，未发现可疑活动。

ShinyHunters声称实施攻击

ReliaQuest的声明发布前不久，臭名昭著的数据勒索组织ShinyHunters声称对该公司发动了攻击。

在其勒索门户的新帖子中，ShinyHunters引用了ReliaQuest此前对该威胁组织的报告，称“这次帖子是关于你们的，而不是关于我们的”。

威胁行为者发布了访问证据，显示他们已成功入侵ReliaQuest的Okta SSO账户。

BleepingComputer询问ReliaQuest此次事件是否与ShinyHunters有关，但尚未收到更多信息。

然而，ShinyHunters告诉BleepingComputer，他们的访问仅为只读，未触及任何应用程序、系统或客户数据。

“未访问其他身份，未触及任何业务应用程序，除用户登录凭据外未访问任何客户或ReliaQuest数据，也未建立持久化，”该威胁行为者表示。