ShinyHunters attacca l’azienda di cybersicurezza ReliaQuest: l’allarme degli esperti

ShinyHunters ha attaccato ReliaQuest, pubblicando screenshot del dashboard Okta. ReliaQuest conferma l'attacco, avvenuto tramite ingegneria sociale, ma assicura che solo un account è stato compromesso per un breve periodo, senza accesso ai sistemi interni o dati clienti.

Sul proprio sito nel dark web, gli hacker del gruppo ShinyHunters hanno dichiarato di aver violato l’azienda di sicurezza informatica ReliaQuest, pubblicando screenshot del dashboard Okta a cui sono riusciti ad accedere. I rappresentanti di ReliaQuest, tuttavia, assicurano che gli aggressori siano riusciti ad ottenere accesso ai dati di un solo account per un breve periodo e non siano riusciti a raggiungere né i sistemi interni né le informazioni dei clienti.

L’attacco è avvenuto il 22 agosto 2026 ed è stato condotto tramite ingegneria sociale: gli aggressori hanno chiamato diversi dipendenti di ReliaQuest, dove si sono spacciati per membri del team di sicurezza dell’azienda e hanno cercato di convincere le vittime ad aprire una pagina SSO falsa, ospitata nel dominio reliaquest[.]claims.

Uno dei dipendenti di ReliaQuest è caduto nella trappola dei phisher, ha inserito le proprie credenziali sulla pagina falsa e ha confermato la richiesta di push per l’autenticazione a più fattori. Di conseguenza, gli hacker criminali hanno ottenuto temporaneamente accesso alla sua sessione e sono riusciti a visualizzare il pannello di controllo dell’account ReliaQuest in Okta.

Tuttavia, i criminali non sono riusciti a sviluppare ulteriormente l’attacco: il sistema ha respinto i tentativi di accesso da un dispositivo non fidato e non ha permesso agli aggressori di passare dal dashboard alle applicazioni e ai sistemi interni dell’azienda.

In ReliaQuest sottolineano che gli attaccanti hanno ottenuto solo accesso in lettura, non sono riusciti a compromettere altri account e a stabilirsi nell’infrastruttura dell’azienda, e durante l’attacco non sono stati compromessi i dati dei clienti. Dopo aver rilevato l’incidente, gli specialisti di ReliaQuest hanno terminato la sessione degli aggressori, hanno revocato la password compromessa e hanno reimpostato tutti i token e altri dati di autenticazione.

Ironicamente, poco prima di questo incidente, i ricercatori di ReliaQuest avevano parlato su X di questa campagna di ShinyHunters: secondo i dati degli specialisti, il gruppo registrava domini del tipo company[.]claims, chiaramente destinati a imitare le pagine dei servizi di supporto tecnico e dei dipartimenti IT delle organizzazioni.

Inoltre, attualmente questo messaggio è stato rimosso. Dopo di ciò, un account collegato a ShinyHunters ha risposto ai ricercatori con la frase: «E chi sta dando la caccia a chi?» («Who’s hunting who?») e ha allegato al messaggio screenshot dell’account Okta compromesso di ReliaQuest.

Successivamente, gli stessi screenshot sono stati pubblicati sul sito del gruppo. Nel frattempo, i membri di ShinyHunters non negano di aver ottenuto solo un accesso limitato al sistema di un dipendente di ReliaQuest.

“`

Chiara Nardini

Esperta di Cyber Threat intelligence e di cybersecurity awareness, blogger per passione e ricercatrice di sicurezza informatica. Crede che si possa combattere il cybercrime solo conoscendo le minacce informatiche attraverso una costante attività di "lesson learned" e di divulgazione. Analista di punta per quello che concerne gli incidenti di sicurezza informatica del comparto Italia.

Aree di competenza: Cyber threat Intelligence, Incident Response, sicurezza nazionale, divulgazione