ShinyHunters
ShinyHunters è un noto gruppo specializzato nel furto di dati e nelle violazioni di sicurezza, salito alla ribalta nel 2020 per aver divulgato e venduto milioni di dati relativi agli utenti di aziende di tutto il mondo.
L'origine di ShinyHunters
A differenza dei gruppi di ransomware, ShinyHunters non crittografa i sistemi. Le loro operazioni si concentrano invece sulla violazione delle reti, sul furto di dati e sulla loro commercializzazione tramite forum clandestini o canali Telegram. Sono stati collegati a fughe di notizie di grande risonanza dai repository GitHub di Microsoft, da Tokopedia, Bonobos e da decine di organizzazioni minori.
Il gruppo è noto per le violazioni su larga scala, con database contenenti decine di milioni di record che compaiono regolarmente sui mercati clandestini. Lo stile operativo di ShinyHunters combina estorsione finanziaria, danneggiamento dell'immagine del marchio e costruzione della propria reputazione,rendendolo una minaccia persistente per le aziende di diversi settori.
Nell'agosto 2025, ShinyHunters ha stretto una partnership operativa con LAPSUS$ e Scattered Spider, formando il collettivo di ricattatori Scattered LAPSUS$ Hunters. In questa alleanza, ShinyHunters fornisce un flusso costante di enormi database rubati e infrastrutture di violazione, integrando il modello di estorsione di LAPSUS$ basato sullo spettacolo pubblico e le sofisticate competenze di ingegneria sociale e intrusione SaaS Scattered Spider. Questa collaborazione espande l'influenza di ShinyHunters oltre i mercati clandestini, portandola sotto i riflettori dei media mainstream, consentendo loro di amplificare la pressione del riscatto e il danno alla reputazione, accelerando al contempo la monetizzazione.
Paesi interessati da ShinyHunters
A livello mondiale, con vittime in:
- Stati Uniti
- India e Sud-Est asiatico
- Europa (Francia, Germania, Regno Unito)
- America Latina
Settori di riferimento di ShinyHunters
Le violazioni di ShinyHunters coprono un ampio spettro e riguardano in genere settori ricchi di dati:
- Vendita al dettaglio ed e-commerce (Tokopedia, Wattpad, Bonobos)
- Tecnologia e SaaS (repository GitHub di Microsoft)
- Servizi finanziari (varie banche dati relative al settore fintech e bancario)
- Settore alimentare e delle bevande (piattaforme di consegna a domicilio, app per ristoranti)
- Piattaforme sanitarie e di consumo con set di dati ricchi di informazioni personali identificative
Vittime accertate
- GitHub: Repository di codice sorgente rubati
- Tokopedia: trapelati 91 milioni di dati degli utenti
- Wattpad: 270 milioni di dati rubati e divulgati
- Bonobos: 7 milioni di dati dei clienti venduti online
- Numerose piattaforme di consegna di cibo a domicilio e di e-commerce in tutto il mondo
Il metodo di attacco degli ShinyHunters
Sfrutta applicazioni configurate in modo errato o credenziali deboli, oppure ottiene l'accesso tramite intermediari del dark web.
Sfrutta vulnerabilità note o configurazioni errate nelle applicazioni web e nei database.
Si basa sulla discrezione, spesso mimetizzandosi nel traffico legittimo o sfruttando le falle cloud .
Prende di mira GitHub, cloud e i database interni; raccoglie le credenziali degli utenti.
Mappa dei database accessibili e degli archivi interni.
Amplia l'accesso dalle applicazioni web ai database di backend e ai repository di codice.
Estrae set di dati su larga scala contenenti informazioni personali identificative, dati finanziari e codice sorgente.
Esegue semplici script di estrazione dati e crawler automatizzati per massimizzare il furto di dati.
Trasferisce i set di dati rubati su forum clandestini e canali Telegram.
Provoca danni alla reputazione attraverso fughe di notizie su larga scala, tentativi di estorsione e la vendita di archivi di dati.
Sfrutta applicazioni configurate in modo errato o credenziali deboli, oppure ottiene l'accesso tramite intermediari del dark web.
Sfrutta vulnerabilità note o configurazioni errate nelle applicazioni web e nei database.
Si basa sulla discrezione, spesso mimetizzandosi nel traffico legittimo o sfruttando le falle cloud .
Prende di mira GitHub, cloud e i database interni; raccoglie le credenziali degli utenti.
Mappa dei database accessibili e degli archivi interni.
Amplia l'accesso dalle applicazioni web ai database di backend e ai repository di codice.
Estrae set di dati su larga scala contenenti informazioni personali identificative, dati finanziari e codice sorgente.
Esegue semplici script di estrazione dati e crawler automatizzati per massimizzare il furto di dati.
Trasferisce i set di dati rubati su forum clandestini e canali Telegram.
Provoca danni alla reputazione attraverso fughe di notizie su larga scala, tentativi di estorsione e la vendita di archivi di dati.
TTP utilizzati dagli ShinyHunters
Come individuare gli ShinyHunters con Vectra AI
Domande frequenti
ShinyHunters distribuisce ransomware?
No. A differenza di molti gruppi dediti alla criminalità informatica, si concentrano esclusivamente sul furto e sulla divulgazione di dati, non sulla crittografia dei file.
In che modo ShinyHunters guadagna?
Vendendo database rubati su forum clandestini e canali Telegram, oppure ricattando le aziende.
Che tipo di dati rubano?
Principalmente dati personali, credenziali di accesso, dati finanziari e repository di codice sorgente.
Si tratta di violazioni mirate o opportunistiche?
Per lo più opportunistico, sfrutta sistemi vulnerabili o scarsamente protetti per ottenere il massimo volume di dati.
Collaborano con persone interne all'azienda?
A differenza di LAPSUS$, vi sono meno indizi che facciano pensare al reclutamento di personale interno; essi si affidano maggiormente alle violazioni tecniche.
Qual è il loro rapporto con gli altri gruppi?
Ora hanno stretto una collaborazione con LAPSUS$ e Scattered Spider sotto il marchio «Scattered LAPSUS$ HuntersStanno inoltre divulgando informazioni su Qilin e DragonForce, il che dimostra che probabilmente non sono più in buoni rapporti con questi gruppi.
In che modo le organizzazioni possono rilevarne la presenza?
Monitorando le query anomale al database, gli accessi a GitHub e gli eventi di esfiltrazione di dati su larga scala. Strumenti come Vectra AI sono in grado di identificare tempestivamente questi comportamenti.
Quali sono i settori più a rischio?
Qualsiasi organizzazione che disponga di grandi insiemi di dati sui consumatori, in particolare nel settore della vendita al dettaglio, del SaaS e dei servizi finanziari.
Quanto sono gravi le loro fughe di notizie?
In molti casi si tratta di decine o centinaia di milioni di record, con conseguenti furti di identità, attacchi di credential stuffing e danni alla reputazione.
Qual è la migliore strategia difensiva?
Adottare solide pratiche di sicurezza delle identità, monitorare gli archivi alla ricerca di credenziali esposte e implementare Vectra AI per rilevare esfiltrazioni anomale e abusi delle credenziali in cloud ibridi e cloud .