گروه ShinyHunters یک سازمان مجرم سایبری با انگیزه‌های مالی است که در سال‌های اخیر بر نفوذ به شرکت‌ها، دانشگاه‌ها و پلتفرم‌های ابری تمرکز کرده است. این گروه با سرقت داده‌های حساس و تهدید به انتشار آن‌ها، قربانیان خود را مجبور به پرداخت باج می‌کند. یکی از گسترده‌ترین حملات این گروه در سال ۲۰۲۶ رخ داد، جایی که ادعای استخراج ۳.۶۵ ترابایت داده مربوط به بیش از ۸۸۰۰ مدرسه و دانشگاه از طریق سیستم مدیریت یادگیری Canvas (متعلق به شرکت Instructure) را داشت.
تاریخچه و تکامل تاکتیکی
این گروه که از سال ۲۰۲۰ فعال است، ابتدا با فروش دیتابیس کاربران Tokopedia شناخته شد. نام این گروه از اصطلاح “Shiny Hunting” در بازی‌های پوکمون گرفته شده که اشاره به جستجو برای داده‌های نادر و باارزش دارد. در سال‌های ابتدایی، آن‌ها عمدتاً از پیکربندی‌های نادرست ذخیره‌سازی ابری (Cloud Storage Misconfiguration) و اعتبارنامه‌های سرقتی استفاده می‌کردند، اما از سال ۲۰۲۵ تاکتیک‌های خود را به سمت Vishing (فیشینگ صوتی) علیه میزهای پشتیبانی (Help Desk) شرکت‌ها تغییر دادند.
اتحاد Scattered LAPSUS$ Hunters
در سال ۲۰۲۵، ShinyHunters با دو گروه دیگر یعنی Scattered Spider و Lapsus$ یک اتحاد عملیاتی تشکیل داد. در این همکاری، هر گروه تخصص خاصی دارد: Scattered Spider بر جعل هویت و SIM-swapping، گروه Lapsus$ بر جذب نفوذگران داخلی و نشت کد منبع (Source Code)، و ShinyHunters بر جمع‌آوری داده‌های انبوه و اخاذی تمرکز دارد.
تحلیل حمله به Canvas و Instructure
در آپریل ۲۰۲۶، این گروه با بهره‌برداری از یک آسیب‌پذیری زیرو دِی در Oracle PeopleSoft (و نه صرفاً فیشینگ)، به زیرساخت‌های Instructure نفوذ کرد. داده‌های سرقتی شامل نام‌ها، ایمیل‌ها، شماره‌های شناسایی دانشجویان و پیام‌های خصوصی بود. اگرچه Instructure اعلام کرد که رمزهای عبور یا اطلاعات مالی آسیب ندیده‌اند، اما حجم داده‌های ادعایی توسط مهاجمان بسیار بالا بود.
بررسی قربانیان کلیدی و متدهای نفوذ
- حملات مبتنی بر Salesforce: این گروه با استفاده از Vishing، کارکنان را فریب داد تا ابزار Salesforce Data Loader را نصب کنند. از این طریق به داده‌های شرکت‌هایی نظیر Google، Qantas، Adidas و Cisco دسترسی یافتند.
- حملات زنجیره‌ای تامین (Supply Chain): نفوذ به Rockstar Games از طریق یک پلتفرم صورت‌حساب شخص ثالث و دسترسی به Snowflake Data Warehouse.
- سایر قربانیان: نفوذ به TransUnion (افشای شماره‌های تامین اجتماعی ۴.۴ میلیون کاربر)، Udemy و Medtronic.
مدل عملیاتی: اخاذی بدون باج‌افزار
برخلاف گروه‌های سنتی، ShinyHunters از باج‌افزار برای رمزنگاری سیستم‌ها استفاده نمی‌کند. مدل آن‌ها “Pay or Leak” است؛ یعنی داده‌ها را می‌ربایند و ضرب‌الاجلی برای پرداخت تعیین می‌کنند. مذاکرات معمولاً از طریق پروتکل پیام‌رسان TOX انجام می‌شود. آن‌ها یک سایت افشای داده (DLS) در دارک‌وب مدیریت می‌کنند تا با نمایش نمونه‌های کوچک از داده‌ها و تایمرهای معکوس، فشار روانی بر سازمان‌ها وارد کنند.
وضعیت حقوقی و بازداشت‌ها
علیرغم بازداشت افرادی مانند Sébastien Raoult در سال ۲۰۲۴ و Kai West (معروف به IntelBroker) در سال ۲۰۲۵، این گروه همچنان فعال است. تحلیلگران معتقدند ShinyHunters بیشتر یک “برند” یا هویت مشترک است تا یک سازمان متمرکز، به همین دلیل بازداشت برخی اعضا باعث توقف کامل عملیات آن‌ها نشده است.
