34 млн записей колумбийского финтеха Addi всплыли на leak-сайте ShinyHunters в марте 2026 года. По данным Have I Been Pwned, в дампе - кредитные скоринги, государственные идентификаторы, информация об устройствах и email-адреса. Готовый набор для кредитного мошенничества, бери и оформляй. Шифровальщиков нет, бэкапы целы, сервисы работают. И вот тут начинается самое неприятное: IR-playbook с восстановлением из бэкапов здесь бесполезен. Данные не зашифрованы - они украдены. Разбираем цепочку атаки, IOC и конкретные правила детектирования для SOC.
Pay or leak вымогательство: бизнес-модель атаки ShinyHunters на финтех
ShinyHunters - финансово мотивированная группировка, работающая с 2020 года. Принципиальное отличие от классических ransomware-операторов: группа не шифрует системы жертв. Вся бизнес-модель - кража данных и вымогательство: «заплатите или мы публикуем». По данным EclecticIQ, суммы требований превышают $1 млн за компанию.Финтех - идеальная мишень для этой модели. Три причины:
Регуляторное давление. Компания, которая обрабатывает кредитные скоринги и государственные ID, при публичной утечке попадает под расследование регулятора. Для Addi - потенциальные оборотные штрафы и обязательное уведомление десятков миллионов клиентов. Compliance-процесс сам по себе может стоить дороже суммы вымогательства. Атакующие это прекрасно считают.
Монетизация датасета. Кредитные скоринги + государственные ID + email + данные устройств = готовый набор для кредитного мошенничества. Даже если компания откажется платить, датасет уйдёт на брич-форумы за отдельную цену.
Масштаб. 34,5 млн записей - объём, при котором каждый день задержки увеличивает репутационные потери. ShinyHunters системно выбирает дата-ёмкие отрасли: ритейл, SaaS, телеком, финансы.
Addi - далеко не единственная жертва. По данным InfoWatch, в первой половине 2026 года ShinyHunters опубликовала данные 40 компаний - от Mytheresa и Zara до Carnival и 7-Eleven. Масштаб операций растёт: по данным CrowdStrike Global Threat Report 2025, количество cloud intrusion выросло на 26% год к году, а по данным IBM X-Force, infostealers (32%) опередили ransomware как самый распространённый тип вредоносного ПО. Data extortion вытесняет шифрование как основной вектор монетизации.
Группировка расширяет возможности. По данным Vectra AI, в августе 2025 ShinyHunters вошла в коалицию Scattered LAPSUS$ Hunters совместно со Scattered Spider и LAPSUS$ - с разделением ролей: Scattered Spider обеспечивает начальный доступ через социальную инженерию, ShinyHunters берёт на себя кражу и публикацию данных, LAPSUS$ давит через медиа. По данным EclecticIQ, параллельно идёт разработка RaaS-платформы shinysp1d3r для шифрования VMware ESXi - к чистому data extortion может добавиться и классическое шифрование. То есть ребята не останавливаются.
Цепочка атаки ShinyHunters: тактики от vishing до утечки данных Addi
Google Threat Intelligence отслеживает активность ShinyHunters через несколько кластеров - UNC6661, UNC6671 и UNC6240. Типовая атака проходит три фазы: социальная инженерия для начального доступа, закрепление через облачные учётные записи и массовая эксфильтрация из SaaS-платформ.Начальный доступ: голосовой фишинг и credential harvesting
Основной вектор - Spearphishing Voice (T1566.004, Initial Access). Участники Scattered Spider, привлечённые ShinyHunters по контракту, звонят сотрудникам целевых организаций, представляясь IT-поддержкой. Типовая легенда: «Компания обновляет настройки MFA, пройдите по ссылке для верификации».По данным EclecticIQ, для масштабирования vishing-кампаний используются AI-платформы синтеза голоса Bland AI и Vapi. Bland AI генерирует разговорные сценарии через встроенную LLM - адаптирует тон и ответы в реальном времени, позволяет настраивать пол и региональный акцент. Звонок неотличим от реального сотрудника IT-отдела. Для маршрутизации звонков задействованы VoIP-сервисы Twilio, Google Voice и 3CX - Web Services (T1583.006, Resource Development). Рекрутинг фишеров ведётся через Telegram-каналы, включая Sim Land, управляемый участниками The Com.
Жертву направляют на фишинговый сайт с клоном SSO-портала. По данным Mandiant, домены credential harvesting регистрируются через NICENIC и следуют паттерну
<companyname>sso.com или <companyname>internal.com. Фишинговая страница реплицирует интерфейс Okta, перехватывает SSO-креденшалы и MFA-код одновременно - Valid Accounts (T1078, Initial Access).Параллельный вектор - эксплуатация CVE-2021-35587 в Oracle Access Manager, Exploit Public-Facing Application (T1190, Initial Access). Уязвимость оценена CVSS 9.8 (CRITICAL), вектор CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, затрагивает версии 11.1.2.3.0, 12.2.1.3.0 и 12.2.1.4.0. CWE-306 - Missing Authentication for Critical Function: неаутентифицированный атакующий с сетевым доступом по HTTP получает полный контроль над Oracle Access Manager. Уязвимость включена в каталог CISA KEV (дата добавления - 28 ноября 2022), по данным AlienVault OTX имеет более 50 пульсов с тегом «actively exploited» на июль 2026 года. Для проверки экспозиции - шаблон Nuclei
CVE-2021-35587.yaml.Третий вектор - инсайдеры. Лидер группировки ShinyCorp рекрутирует сотрудников и контракторов через Telegram-каналы для получения прямого доступа к SSO-платформам, VPN и Git-репозиториям. ShinyHunters целенаправленно атакует CI/CD-пайплайны через Supply Chain Compromise (T1195, Initial Access), компрометируя engineering-аккаунты в BrowserStack и JFrog. По данным EclecticIQ, украденные API-ключи BrowserStack были опубликованы через временный Telegram-канал. Один скомпрометированный ключ BrowserStack может дать доступ к GitHub, Jira, Slack и Azure DevOps через интеграции - эффект домино.
Закрепление в облаке и обход детектирования
Получив креденшалы жертвы, атакующий регистрирует собственное устройство в MFA-конфигурации - Device Registration (T1098.005, Persistence). Это даёт долговременный доступ к скомпрометированному аккаунту даже после окончания фишинговой сессии.Дальше - характерная анти-форенсик техника, и вот она по-настоящему изящная: атакующий авторизует приложение ToogleBox Recall в Google Workspace жертвы и удаляет email-уведомление Okta «Security method enrolled». Легитимный сотрудник просто не замечает появления нового MFA-устройства. Этот паттерн - один из наиболее надёжных поведенческих индикаторов активности ShinyHunters. Если видите ToogleBox Recall в OAuth-логах - это красный флаг.
Далее - Cloud Service Discovery (T1526, Discovery) для перечисления доступных облачных сервисов, затем - Data from Information Repositories (T1213, Collection; T1213.002 для SharePoint). Атакующий ищет документы по ключевым словам: «poc», «confidential», «internal», «proposal», «salesforce», «vpn». По данным Mandiant, UNC6661 целенаправленно извлекает PII из Salesforce и экспортирует данные из SharePoint, OneDrive и DocuSign.
Операционный трафик маскируется через коммерческие VPN и residential proxy: Mullvad, Oxylabs, NetNut, 9Proxy, Infatica, nsocks - External Remote Services (T1133, Initial Access/Persistence).
Эксфильтрация и вымогательство данных
Массовая выгрузка идёт через легитимные облачные API - Exfiltration Over Web Service (T1567, Exfiltration). Атакующий скачивает файлы из SharePoint и экспортирует записи из Salesforce и DocuSign. В логах SharePoint, опубликованных Mandiant, зафиксирован характерный UserAgent:WindowsPowerShell/5.1.20348.4294 - скрипт автоматизации выгрузки, замаскированный под браузерный запрос Mozilla.Сэмплы украденных данных загружаются на LimeWire для демонстрации жертве в ходе переговоров. Требования оформляются на DLS-сайте ShinyHunters: имя компании, дедлайн, угроза публикации - Financial Theft (T1657, Impact; для самой угрозы публикации данных явного T-кода в ATT&CK нет). В случае Canvas/Instructure группировка пошла дальше - заменила страницы входа в систему на сообщения с требованием выкупа, давя напрямую на конечных пользователей. По данным ValCyber, Instructure предположительно заплатила, и данные были удалены.
Индикаторы компрометации ShinyHunters
Таблица IOC составлена по отчётам Mandiant и EclecticIQ. Приоритет - поведенческие паттерны. Статические IP из отчётов Mandiant приведены для контекста, но быстро протухают.| Тип | Индикатор | Контекст |
|---|---|---|
| Домен (паттерн) | <company>sso.com, <company>internal.com | Credential harvesting, регистратор NICENIC |
| IP | 76.64.54[.]159 | Salesforce login, отчёт Mandiant (UNC6661) |
| IP | 73.135.228[.]98 | DocuSign access, отчёт Mandiant (UNC6661) |
| VPN/Proxy | Mullvad, Oxylabs, NetNut, 9Proxy, Infatica, nsocks | Маскировка операционного трафика |
| VoIP | Twilio, Google Voice, 3CX | Инфраструктура vishing-звонков |
| AI-платформы | Bland AI, Vapi | Синтез голоса для vishing |
| OAuth-приложение | ToogleBox Recall | Удаление MFA-уведомлений в Google Workspace |
| UserAgent | WindowsPowerShell/5.1.20348.4294 | Автоматизация выгрузки из SharePoint |
| Платформа | LimeWire | Хостинг proof-of-compromise |
| Telegram | Sim Land (SL) | Рекрутинг фишеров и инсайдеров |
Загружайте IOC в TIP (MISP, OpenCTI) и настраивайте корреляцию с сетевыми логами. Для мониторинга IP - AbuseIPDB API (
/api/v2/check?ipAddress=X) с порогом abuseConfidenceScore > 75. Перед блокировкой исключайте CGNAT-выходы и CDN-адреса Cloudflare/Akamai - residential proxy дают высокий процент ложных срабатываний. На практике я ставлю порог 85 и добавляю whitelist по ASN, иначе половина алертов - мусор.Детектирование data extortion: чеклист и Sigma-правила для SOC
- прямой индикатор автоматизированной эксфильтрации.
Код:
index=o365 Operation="FileDownloaded"
UserAgent="*PowerShell*"
| stats count by UserId, ClientIP
| where count > 504. Аномальные поисковые запросы в SaaS. Поиск по ключевым словам «confidential», «internal», «vpn», «proposal» через облачные API (T1213, Collection). Коррелируйте с новыми или редко используемыми аккаунтами - особенно если поиск идёт в первые часы после логина.
5. Salesforce: подключение неизвестного connected app. ShinyHunters использует OAuth device-code flow для привязки вредоносного приложения к Salesforce-инстансу. Мониторьте события
ConnectedAppInstalled и OAuthAppApproved с фильтрацией по whitelist утверждённых приложений.6. Удаление security-уведомлений. Удаление письма от Okta или MFA-провайдера в течение минут после регистрации нового устройства - сильный поведенческий индикатор. Немедленная эскалация.
Hardening: как снизить риск утечки данных по сценарию Addi
Phishing-resistant MFA. Цитата из Mandiant: «FIDO2 security keys и passkeys устойчивы к социальной инженерии способами, недоступными push-based или SMS-аутентификации». Переход на FIDO2 ломает всю цепочку vishing - credential theft - MFA bypass на уровне initial access. Это единственная мера, которая закрывает основной вектор атаки ShinyHunters. Всё остальное - полумеры, если SSO по-прежнему принимает OTP по SMS.Аудит OAuth-приложений. Ревизия подключённых приложений в Salesforce, Google Workspace и M365. Отзыв токенов для неутверждённых или высокопривилегированных приложений. После supply-chain атаки через Gainsight компания Salesforce отозвала все OAuth-токены для ~285 затронутых инстансов (данные ValCyber). Такая реакция должна быть предусмотрена в playbook заранее, а не импровизироваться в 3 часа ночи.
Conditional access. Ограничение SSO-аутентификации по геолокации и типу устройства. Блокировка логинов через residential proxy (Mullvad, Oxylabs) и VPN-сервисы, не входящие в корпоративный whitelist.
Патчинг Oracle Access Manager. Если в инфраструктуре работает OAM версий 11.1.2.3.0, 12.2.1.3.0 или 12.2.1.4.0 - CVE-2021-35587 (CVSS 9.8, CISA KEV) позволяет полный захват без аутентификации. Проверьте экспозицию через Nuclei-шаблон
CVE-2021-35587.yaml. Уязвимости 5 лет, а она до сих пор в actively exploited - это о многом говорит.Мониторинг массовых экспортов. Алерты на аномальные объёмы выгрузки из облачных платформ. D3FEND рекомендует Per Host Download-Upload Ratio Analysis (D3-PHDURA) для детектирования сетевых аномалий и Inbound Session Volume Analysis (D3-ISVA) для контроля входящих сессий к публичным приложениям.
Инсайдерская угроза. ShinyHunters целенаправленно рекрутирует сотрудников через Telegram. Контрмеры: Access Modeling (D3-AM) для мониторинга привилегированных аккаунтов, User Account Permissions (D3-UAP) для минимизации привилегий, Account Locking (D3-AL) при обнаружении аномалий. Для сессий с подозрительной активностью - Session Termination (D3-ST).
Playbook для data extortion. Отдельный playbook, не зависящий от backup recovery. Ключевые элементы: юридическая оценка обязательств по breach notification, коммуникационный план для клиентов и регуляторов, процедура верификации подлинности утечки через анализ структуры дампа (CSV/SQL), policy взаимодействия с атакующим. Бесплатная альтернатива для отработки - MITRE Caldera с модулем exfiltration, чтобы смоделировать сценарий до того, как он случится в проде.
Кейс Addi - очередное подтверждение: индустрия до сих пор строит IR-процессы под сценарий шифрования. Многие playbook'и в финтехе по-прежнему начинаются с «изолировать хост, восстановить из бэкапа». ShinyHunters не шифрует ни одного файла - и весь этот playbook становится нерелевантным.
Проблема глубже. Vishing + SSO + SaaS - цепочка, в которой нет ни одного «серверного» IOC. Нет вредоносного бинарника на хосте, нет lateral movement через SMB, нет C2-трафика на нестандартный порт. Всё происходит через легитимные облачные API с валидным OAuth-токеном. EDR на эндпоинте молчит, потому что атака идёт выше - на уровне identity и SaaS.
Я вижу здесь системный сдвиг, к которому большинство SOC не готовы. Детектирование должно переехать из сетевого и хостового уровня в cloud-native: логи Okta, события Google Workspace Admin, Salesforce LoginHistory и EventLogFile - это новый первичный источник для корреляции. Если ваш SIEM не парсит эти логи - SOC слеп к основному вектору атаки 2026 года. Проверьте прямо сейчас: откройте Okta System Log, найдите событие
user.mfa.factor.activate и убедитесь, что оно вообще доходит до SIEM. Если нет - у вас дыра размером с ShinyHunters.И ещё один момент, который не принято озвучивать: pay or leak работает. Instructure, по имеющимся данным, предположительно заплатила - и данные удалили. Это создаёт финансовый стимул для масштабирования операций. Пока организации платят, ShinyHunters будет расти. По свежим инцидентам этого типа на форуме codeby.net разбираем подобное на ежемесячной основе.
