گروه هکری و اخاذی ShinyHunters مدعی شده است که موفق به اجرای یک حمله سایبری علیه رقیب خود، گروه باج‌افزاری Clop شده است. این حادثه که در تاریخ ۱۸ سپتامبر رخ داد، با تغییر چهره (Defacement) سایت افشای داده‌های Clop در دارک‌وب آغاز شد، جایی که پیام «این سایت توسط ShinyHunters تسخیر شده است» به همراه آثار هنری ASCII از پوکمون نمایش داده شد.
جزئیات سرقت داده‌ها و اهداف حمله
گروه ShinyHunters ادعا می‌کند که کلیدهای خصوصی (Private Keys) و داده‌های سروری مورد نیاز برای مدیریت عملیات باج‌افزاری Clop را سرقت کرده است. طبق گزارش‌های منتشر شده، این گروه به فایل‌هایی دسترسی پیدا کرده که می‌تواند شامل موارد زیر باشد:
- لاگ‌های احراز هویت (Authentication Logs)
- سوابق فعالیت‌های عملیاتی
- آدرس‌های IP اعضای گروه Clop که به سرویس متصل شده‌اند
دسترسی به این اطلاعات می‌تواند منجر به شناسایی هویت واقعی اعضای گروه Clop شود. با این حال، ShinyHunters با این گروه مجرم نیز مانند یک قربانی عادی رفتار کرده و با ارسال یک یادداشت باج‌خواهی، از آن‌ها خواسته است برای پرداخت مبلغی در قبال بازگرداندن داده‌ها، با آن‌ها تماس بگیرند.
ریشه اختلافات: رقابت بر سر آسیب‌پذیری‌های Zero-Day
به نظر می‌رسد این حمله، نقطه اوج اختلافات میان این دو گروه باشد که از سال ۲۰۲۵ آغاز شد. دلیل اصلی این درگیری، رقابت بر سر مالکیت آسیب‌پذیری‌های سرورهای Oracle E-Business Suite است. به‌ویژه آسیب‌پذیری روز صفر (Zero-Day) با شناسه CVE-2025-61882 که هر دو گروه برای سرقت داده‌ها و کمپین‌های اخاذی از سازمان‌ها از آن استفاده می‌کردند.
تحلیل رفتار گروه‌های تبهکار سایبری
کارشناسان امنیت اشاره می‌کنند که این اتفاق یادآور این نکته است که گروه‌های مجرم سایبری یک اکوسیستم هماهنگ نیستند، بلکه کسب‌وکارهای رقابتی هستند که بر پایه پول و اعتبار اداره می‌شوند. در محیطی که روابط بر اساس فریب و ترس شکل گرفته باشد، خیانت و ضربه زدن به یکدیگر امری رایج است.
پیشینه فعالیت گروه‌ها
گروه ShinyHunters یکی از فعال‌ترین گروه‌های اخاذی در سال ۲۰۲۶ است که حملات گسترده‌ای را علیه سرویس‌های SaaS مانند Salesforce Experience Cloud و Canvas LMS انجام داده و اخیراً ادعای حمله به شرکت تجهیزات پزشکی McKesson را مطرح کرده است.
در مقابل، گروه Clop که از سال ۲۰۱۹ فعال است، سابقه حملات تخریبی گسترده‌ای دارد؛ از جمله اکسپلویت کردن آسیب‌پذیری‌های MOVEit Transfer و MoveIT Cloud در سال ۲۰۲۳ و حمله به دانشگاه Phoenix در سال ۲۰۲۵ که منجر به نشت داده‌های ۳.۵ میلیون نفر شد.
