Shinyhunters

กลุ่ม ShinyHunters เจาะเว็บไซต์รั่วข้อมูลบนดาร์กเว็บของกลุ่มแรนซัมแวร์คู่แข่ง Clop แล้วขึ้นข้อความ DOMAIN SEIZED BY SHINYHUNTERS โดยอ้างว่าใช้ช่องโหว่อัปโหลดไฟล์แบบไม่ต้องยืนยันตัวตนใน Grav CMS ผู้โจมตีอ้างว่าขโมยซอร์สโค้ด ปลั๊กอิน ล็อก และคีย์ส่วนตัวของบริการ Onion พร้อมขู่แฉรายชื่อบริษัทที่จ่ายค่าไถ่ในแคมเปญ Oracle EBS ทำให้เหยื่อเดิมของ Clop เสี่ยงถูกกรรโชกซ้ำ

บริษัท Anthropic เปิดรายงานภัยคุกคามความยาว 154 หน้า ระบุว่าทั้งอาชญากรไซเบอร์และกลุ่มที่รัฐหนุนหลังนำโมเดล Claude ไปใช้โจมตีไซเบอร์ ออกแบบอาวุธ ทำโฆษณาชวนเชื่อ และสอดแนมมวลชน ระหว่างธันวาคม 2568 ถึงสิงหาคม 2569 บริษัทเรียกผู้ก่อภัยเหล่านี้ว่า Generative Threat Groups (GTG) และเตือนว่า AI ได้ลบช่องว่างด้านกำลังคนและเครื่องมือที่เคยแยกปฏิบัติการระดับรัฐออกจากผู้โจมตีรายเดี่ยว หลายกรณีใช้กรอบหลายเอเจนต์ทำงานอัตโนมัติทั้งการสอดแนม เจาะระบบ และดึงข้อมูล

Microsoft ติดตามผู้โจมตีอย่างน้อยสองรายคือ Storm-3032 และ Storm-3121 ที่โทรหรือส่งข้อความหาผู้บริหารและผู้ดูแลระบบบนอุปกรณ์ส่วนตัว อ้างตัวเป็นฝ่ายไอทีเพื่อหลอกให้ตั้งค่าพาสคีย์หรือ MFA ใหม่ผ่านหน้าเข้าสู่ระบบปลอม จากนั้นใช้เทคนิค AitM และ device code phishing ขโมยโทเค็นเซสชัน แล้วสอบถามข้อมูลองค์กรผ่าน Microsoft Graph API ซึ่งดูกลมกลืนกับการใช้งานปกติ ก่อนทยอยดึงข้อมูลจาก SharePoint OneDrive และ Exchange ออกไปทีละน้อย

บริษัท Trezor ผู้ผลิตกระเป๋าเงินคริปโตแบบฮาร์ดแวร์ เปิดเผยว่าลูกค้าในสหรัฐฯ อีก 67,000 รายได้รับผลกระทบจากเหตุเจาะระบบที่ ShipMonk ผู้ให้บริการขนส่งของตน ข้อมูลที่หลุดคือชื่อ อีเมล เบอร์โทรศัพท์ ที่อยู่จัดส่ง และหมายเลขคำสั่งซื้อของคำสั่งซื้อระหว่างเดือนพฤศจิกายน 2562 ถึงสิงหาคม 2564 ซึ่งเป็นข้อมูลที่ ShipMonk เคยยืนยันเป็นลายลักษณ์อักษรว่าลบไปแล้วตามสัญญา ต้นทางของเหตุคือช่องโหว่ zero-day ใน Metabase และความปลอดภัยของตัวอุปกรณ์ไม่ได้รับผลกระทบ

กลุ่ม ShinyHunters โพสต์ภาพหน้าจอบัญชี Okta ของพนักงานบริษัท ReliaQuest พร้อมข้อความท้าทายว่า “ใครล่าใครกันแน่” และเพิ่มชื่อบริษัทเข้าเว็บไซต์ปล่อยข้อมูล แต่รายงานหลังเหตุการณ์ของ ReliaQuest ระบุว่าผู้โจมตีได้เพียงสิทธิ์อ่านอย่างเดียวบนพอร์ทัล SSO และความพยายามเคลื่อนที่ในเครือข่ายถูกสกัดทั้งหมด บรรณาธิการ Dark Reading ชี้ว่านี่คือรูปแบบการโจมตีสไตล์ Lapsus$ ที่เน้นการอวดอ้างมากกว่าความเสียหายจริง

ผู้ผลิตกระเป๋าเงินคริปโตแบบฮาร์ดแวร์ Trezor แจ้งเหตุข้อมูลลูกค้าเกือบ 14,000 รายรั่ว หลังผู้ให้บริการขนส่งและโลจิสติกส์ ShipMonk ถูกเจาะ ข้อมูลที่หลุดคือชื่อเต็ม ที่อยู่จัดส่ง อีเมล และเบอร์โทรศัพท์ของผู้ที่ได้รับพัสดุระหว่าง 10 พฤษภาคมถึง 8 สิงหาคม 2569 Trezor ยืนยันว่าระบบของตนไม่ถูกเจาะและอุปกรณ์ยังปลอดภัย ส่วน ShipMonk แจ้งลูกค้าว่าผู้โจมตีใช้ช่องโหว่ในแพลตฟอร์มวิเคราะห์ข้อมูล Metabase เป็นทางเข้า และยังได้รับอีเมลข่มขู่เรียกค่าไถ่จากกลุ่ม ShinyHunters

กลุ่มรีดไถ ShinyHunters ปล่อยไฟล์กว่า 41 กิกะไบต์ที่อ้างว่าขโมยมาจากบริษัท Brinks Home ผู้ให้บริการระบบรักษาความปลอดภัยบ้านในสหรัฐฯ หลังบริษัทไม่ยอมจ่ายค่าไถ่ กลุ่มดังกล่าวอ้างว่าดูดข้อมูลจากระบบ Salesforce ของบริษัทไปกว่า 4.9 ล้านรายการ และบางส่วนมีข้อมูลระบุตัวบุคคล ด้าน Brinks Home ยืนยันว่าระบบเฝ้าระวังสัญญาณเตือนภัยและการทำงานของอุปกรณ์ไม่ได้รับผลกระทบ ขณะที่ SecurityWeek ระบุว่ายังตรวจสอบคำกล่าวอ้างของผู้โจมตีอย่างเป็นอิสระไม่ได้

บริษัท Brinks Home ผู้ให้บริการระบบรักษาความปลอดภัยบ้านในสหรัฐฯ เปิดเผยว่าถูกแฮ็กเกอร์เจาะระบบบางส่วนและถูกขู่ว่าจะปล่อยข้อมูลที่อ้างว่าขโมยไป บริษัทตรวจพบเหตุเมื่อวันที่ 20 กรกฎาคม 2569 และยืนยันว่าระบบเฝ้าระวังสัญญาณเตือนภัยไม่ได้รับผลกระทบ ด้านกลุ่มรีดไถ ShinyHunters อ้างว่าเจาะเข้าไปตั้งแต่ 13 กรกฎาคม ด้วยการโทรหลอกพนักงานให้ยืนยันตัวตน Microsoft Entra แล้วดูดข้อมูลจาก Salesforce กว่า 4.9 ล้านรายการ BleepingComputer ยังตรวจสอบความถูกต้องของข้อกล่าวอ้างไม่ได้

บริษัท DentaQuest ผู้บริหารสิทธิประโยชน์ด้านทันตกรรมรายใหญ่ในสหรัฐฯ แจ้งเหตุข้อมูลรั่วที่อาจกระทบมากกว่า 23 ล้านราย ตรวจพบเมื่อ 20 พฤษภาคม 2569 ผู้โจมตีเข้าถึงเครือข่ายระหว่าง 17-20 พฤษภาคม ขโมยชื่อ ที่อยู่ เลขประกันสังคม หมายเลข Medicaid/Medicare การวินิจฉัยและข้อมูลการรักษา กลุ่มขู่กรรโชก ShinyHunters อ้างความรับผิดชอบและปล่อยข้อมูลราว 234 GB บริษัทเสนอเฝ้าระวังเครดิตฟรี 24 เดือน

กลุ่มรีดไถข้อมูล ShinyHunters ออกมาอ้างความรับผิดชอบต่อเหตุข้อมูลรั่วไหลของบริษัท Ernst & Young ที่เปิดเผยเมื่อต้นเดือน โดยอ้างว่าได้รหัสผ่านเข้าระบบผ่านการโจมตีห่วงโซ่อุปทาน กลุ่มนำ EY ขึ้นเว็บไซต์ปล่อยข้อมูลและขู่ปล่อยข้อมูลหากไม่ติดต่อภายใน 31 กรกฎาคม 2569 พร้อมอ้างว่าเจาะระบบ Jira, GitHub และ Azure ของบริษัทได้ ขณะที่ EY ยังไม่ยืนยันว่า ShinyHunters อยู่เบื้องหลัง และเสนอบริการเฝ้าระวังตัวตน 24 เดือนแก่ลูกค้าที่ได้รับผลกระทบ