ShinyHunters: Nuove minacce alle piattaforme SaaS

**ANALISI TECNICA** Il gruppo di hacker noto come ShinyHunters ha recentemente ampliato le sue attività minatorie, utilizzando tecniche avanzate di phishing vocale (vishing) e/sites di raccolta di credenziali contraffatti per ottenere l'accesso non autorizzato alle infrastrutture delle vittime. Il loro obiettivo finale è quello di targeting applicazioni cloud-based SaaS per sottrarre dati sensibili e comunicazioni interne, estorcendo quindi le vittime. Gli attacchi utilizzano tecniche di social engineering per indurre gli utenti a rivelare le proprie credenziali SSO e i codici MFA. Una volta ottenuti questi dati, i criminali informatici registrano il proprio dispositivo per l'MFA e si spostano lateralmente nella rete per esfiltrarre i dati dalle piattaforme SaaS. Google ha identificato diverse cluster di attività, tra cui UNC6661, UNC6671 e UNC6240 (noto anche come ShinyHunters), per tenere traccia delle possibili evoluzioni delle tecniche utilizzate dai gruppi. Per contrastare queste minacce, Google ha fornito una serie di raccomandazioni per il rafforzamento, la registrazione e la rilevazione, tra cui: * Migliorare i processi del servizio di assistenza, richiedendo una chiamata video in diretta per verificare l'identità delle persone * Limitare l'accesso a punti di uscita fidati e posizioni fisiche; far rispettare le password forti e rimuovere SMS, chiamate telefoniche ed email come metodi di autenticazione * Restringere l'accesso al piano di gestione, audit per i segreti esposti e far rispettare i controlli di accesso ai dispositivi * Implementare la registrazione per aumentare la visibilità delle azioni dell'identità, autorizzazioni e comportamenti di esportazione SaaS * Rilevare l'iscrizione del dispositivo MFA e i cambiamenti nel ciclo di vita dell'MFA; cercare eventi OAuth/app che suggeriscano attività di manipolazione della casella di posta utilizzando strumenti come ToogleBox Email Recall, o eventi di identità che si verificano fuori dall'orario di lavoro normale È importante notare che queste attività non sono il risultato di una vulnerabilità di sicurezza nei prodotti o nell'infrastruttura dei fornitori. Invece, mettono in evidenza l'efficacia del social engineering e sottolineano l'importanza delle organizzazioni nel passare all'MFA resistente alla phishing ove possibile, utilizzando metodi come FIDO2 security keys o passkeys. **Riferimenti** * [Google Cloud Blog: Espansione dell'attività minatoria di ShinyHunters](https://cloud.google.com/blog/topics/threat-intelligence/expansion-shinyhunters-saas-data-theft) * [The Hacker News: Threatsday Bulletin - New RCEs on Darknet & More](https://thehackernews.com/2026/01/threatsday-bulletin-new-rces-darknet.html#human-in-the-loop-mfa-bypass)CONTESTO DI MERCATO/SICUREZZA: Dati, trend correlati, impatto sul settore.

Il panorama della sicurezza informatica sta attraversando un periodo di rapida evoluzione, con una particolare attenzione rivolta alle minacce avanzate e sofisticate.

Attacchi basati sull'ingegneria sociale

Uno dei trend più preoccupanti è l'aumento degli attacchi basati sull'ingegneria sociale, come quelli perpetrati dal gruppo ShinyHunters. Questi attacchi sfruttano la voce (voice phishing o vishing) e siti di raccolta credenziali falsi per ottenere l'accesso non autorizzato alle piattaforme SaaS.

Il gruppo ha dimostrato una notevole capacità di adattamento, ampliando il proprio raggio d'azione e utilizzando tecniche estorsive sempre più aggressive. Inoltre, si è osservato un aumento dell'attività di phishing mirato a dipendenti di aziende che operano nel settore della criptovaluta.

Misure di difesa

Per contrastare queste minacce, Google ha pubblicato una serie di raccomandazioni per la sicurezza delle piattaforme SaaS, tra cui:

• Migliorare i processi del servizio di assistenza, ad esempio richiedendo una chiamata video dal vivo per verificare l'identità degli utenti;
• Limitare l'accesso ai punti di uscita fidati e alle posizioni fisiche; applicare password robuste e rimuovere SMS, chiamate vocali ed email come metodi di autenticazione;
• Restringere l'accesso al piano di gestione, audit per i segreti esposti e far rispettare i controlli di accesso ai dispositivi.

L'impatto sul settore è significativo, poiché questi attacchi mettono a rischio la sicurezza dei dati e delle comunicazioni interne delle aziende che utilizzano piattaforme SaaS.

Le organizzazioni devono prendere sul serio le raccomandazioni di Google e adottare misure di difesa proattive per proteggere i propri sistemi e dati. Inoltre, l'adozione di metodi di autenticazione più resistenti al phishing, come FIDO2 security keys o passkeys, può aiutare a prevenire questi attacchi.

STRATEGIA E DIFESA: Consigli pratici per l'utente/investitore

Proteggi i tuoi dati e le tue applicazioni SaaS dalle minacce di ShinyHunters

Google ha recentemente identificato un'espansione dell'attività minacciosa da parte del gruppo finanziario noto come ShinyHunters, che utilizza tecniche avanzate di phishing vocale (vishing) e siti di raccolta credenziali falsi per ottenere l'accesso non autorizzato alle risorse delle vittime. Il loro obiettivo finale è quello di colpire le applicazioni SaaS basate su cloud per estrarre dati sensibili e comunicazioni interne, nonché per estorcere denaro dalle vittime.

Per contrastare queste minacce, Google ha fornito una serie di raccomandazioni per rafforzare la sicurezza delle tue risorse:

• Migliora i processi del servizio di assistenza: richiedere ai dipendenti di verificare l'identità attraverso una chiamata video in diretta.
• Limita l'accesso ai punti di uscita e alle posizioni fisiche affidabili: impone la forza dei password e rimuovi SMS, chiamate telefoniche ed email come metodi di autenticazione.
• Restringe l'accesso al piano di gestione: esegui un'audit per i segreti esposti e impone il controllo dell'accesso ai dispositivi.
• Implementa la registrazione: aumenta la visibilità delle azioni di identità, autorizzazioni e comportamenti di esportazione SaaS.
• Rileva l'iscrizione del dispositivo MFA e i cambiamenti nel ciclo di vita dell'MFA: cerca gli eventi OAuth/app che suggeriscono attività di manipolazione della casella di posta utilizzando strumenti come ToogleBox Email Recall, o gli eventi di identità che si verificano al di fuori degli orari di lavoro normali.

Ricorda che queste minacce non sono il risultato di una vulnerabilità di sicurezza nei prodotti o nell'infrastruttura dei fornitori. Invece, mettono in evidenza l'efficacia della socially engineering e sottolineano l'importanza per le organizzazioni di passare all'MFA resistente al phishing dove possibile. Metodi come FIDO2 security keys o passkeys sono resistenti alla social engineering in modo che non lo siano i metodi basati su SMS.

Previsioni future basate sui fatti

Sulla base delle informazioni fornite da Google e Mandiant, è prevedibile che i gruppi di hacker finanziariamente motivati come ShinyHunters continueranno a utilizzare tecniche di ingegneria sociale avanzata per accedere alle piattaforme SaaS e estorcere denaro dalle vittime. Queste attività potrebbero includere:

• L'uso di voce phishing (vishing) e siti di raccolta di credenziali contraffatti per ottenere l'accesso non autorizzato alle piattaforme SaaS.
• L'estorsione attraverso la minaccia di rendere pubblico i dati sensibili rubati o attraverso altre forme di pressione sulle vittime.
• Il possibile utilizzo di PowerShell per scaricare dati sensibili da SharePoint e OneDrive.

questi gruppi potrebbero evolversi nel tempo, mimando le tecniche precedentemente osservate o cercando nuovi modi per ottenere guadagno finanziario. Ad esempio, l'obiettivo di criptovalute potrebbe suggerire un possibile futuro interesse per altre forme di valute digitali.

Per contrastare queste minacce, le organizzazioni dovrebbero adottare misure di sicurezza più rigorose, come:

• Implementare l'autenticazione a più fattori resistente allo phishing, ad esempio utilizzando FIDO2 security keys o passkeys.
• Migliorare i processi del servizio di assistenza per verificare l'identità delle persone che richiedono aiuto.
• Limitare l'accesso a punti di uscita affidabili e posizioni fisiche; enf