На своем сайте в даркнете хакеры из группы ShinyHunters заявили, что взломали ИБ-компанию ReliaQuest, опубликовав скриншоты дашборда Okta, к которому им удалось получить доступ. Представители ReliaQuest подтвердили атаку, однако уверяют, что злоумышленники смогли лишь ненадолго получить доступ к данным одной учетной записи и не добрались ни до внутренних систем, ни до информации клиентов.
Атака произошла 22 августа 2026 года и осуществлялась с помощью социальной инженерии: злоумышленники позвонили нескольким сотрудникам ReliaQuest, представились членами команды безопасности компании и попытались убедить жертв открыть фейковую SSO-страницу, которая размещалась в домене reliaquest[.]claims.
Кроме того, по данным издания BleepingComputer, во время звонков атакующие использовали имя реального сотрудника отдела безопасности компании.
Один из работников ReliaQuest попался на уловку фишеров, ввел свои учетные данные на фальшивой странице, а также подтвердил push-запрос многофакторной аутентификации. В результате хакеры временно получили доступ к его сессии и смогли просмотреть панель управления учетной записью ReliaQuest в Okta.
Однако развить атаку далее хакерам не удалось: система отклонила попытки доступа с недоверенного устройства и не позволила злоумышленникам перейти из дашборда к приложениям и внутренним системам компании.
В ReliaQuest подчеркивают, что атакующие получили доступ только на чтение, не сумели скомпрометировать другие учетные записи и закрепиться в инфраструктуре компании, и в ходе атаки не пострадали клиентские данные.
После обнаружения инцидента специалисты ReliaQuest завершили сессию злоумышленников, отозвали скомпрометированный пароль, а также сбросили все токены и другие аутентификационные данные.
Иронично, что незадолго до этого инцидента исследователи ReliaQuest рассказывали в соцсети X об этой кампании ShinyHunters: по данным специалистов, группировка регистрировала домены вида company[.]claims, явно предназначенные для имитации страниц служб техподдержки и ИТ-отделов организаций. Причем в настоящее время это сообщение удалено.
После этого связанный с ShinyHunters аккаунт ответил исследователям фразой: «И кто на кого охотится?» («Who's hunting who?») и приложил к сообщению скриншоты скомпрометированного Okta-аккаунта ReliaQuest. Позже эти же скриншоты были размещены на сайте группировки.
При этом участники ShinyHunters не отрицают, что получили лишь ограниченный доступ к системе одного сотрудника ReliaQuest. Представители группировки подтвердили журналистам BleepingComputer, что не имели доступа к другим учетным записям, бизнес-приложениям, системам или клиентским данным, а также не смогли закрепиться в инфраструктуре.
