ShinyHunters: grupa hakerska, wycieki i aktualności

Czym jest ShinyHunters

ShinyHunters to grupa cyberprzestępcza, która kradnie duże bazy danych firm i instytucji, a potem żąda okupu za ich nieujawnienie. Działa w modelu „zapłać albo wyciekniemy”: nie szyfruje systemów jak typowy ransomware, tylko grozi publikacją skradzionych plików na własnej stronie w dark webie i, gdy termin mija bez płatności, faktycznie je publikuje. Według TechTimes grupa działa od 2019 roku, a w samym 2026 przypisuje się jej ponad 40 naruszeń. Eksperci opisują ją jako głównie młodych, anglojęzycznych hakerów nastawionych na kradzież danych i wymuszenia.

Zastrzeżenie dotyczy całego tekstu: wiele liczb pochodzi od samej grupy, a ofiary często ich nie potwierdzają. Tam, gdzie to ważne, deklaracje grupy są odróżnione od ustaleń firm i organów ścigania.

Jakie firmy zaatakowało ShinyHunters

W 2026 roku ShinyHunters przyznało się do ataków na FBI, bazę kierowców Florydy, McKesson, Carhartt, RingCentral, Radę Europy i Madison Square Garden Sports. Najważniejsze przypadki:

Na liście grupy pojawiły się w sierpniu także Ernst & Young, Exact Sciences i Brinks Home. Nie ustalono, czy wpis o EY dotyczy wcześniej ujawnionego incydentu w systemie biletowym tej firmy. Według doniesień grupa stała też za wcześniejszymi atakami na Ticketmaster i Rockstar Games.

Skutki dla poszkodowanych są konkretne. W FBI chodzi o adresy domowe agentów, które mogą trafić w niepowołane ręce. Rada Europy nie ogłosiła planu powiadomienia pracowników ani pomocy kredytowej. W plikach MSG są adresy i wewnętrzne oceny ryzyka znanych osób.

Jak ShinyHunters włamuje się do firm

ShinyHunters wchodzi do firm głównie przez luki w oprogramowaniu firmowym, wyłudzone loginy i skradzione dane dostępowe, a nie przez szyfrowanie systemów. Z relacji wynikają cztery wzorce.

Luki w Oracle PeopleSoft. Zmasowane ataki na serwery PeopleSoft objęły według doniesień 300 instancji w ponad 100 organizacjach, głównie w edukacji; incydent potwierdził m.in. Uniwersytet w Nottingham. Grupa łączy stare luki z exploitami typu zero-day, czyli lukami nieznanymi producentowi, na które w chwili ataku nie ma poprawki. Wejście do Rady Europy dała krytyczna luka CVE-2026-35273 (CVSS 9,8): nie wymaga uwierzytelnienia i dotyczy PeopleTools 8.61 lub 8.62 z dostępnym z zewnątrz modułem Environment Management Hub. CISA dodała ją do katalogu wykorzystywanych podatności 12 czerwca.

Phishing z motywem passkey. Microsoft ostrzega przed phishingiem na passkey: od maja 2026 atakujący dzwonią lub piszą, podszywając się pod helpdesk IT, i każą „pilnie zaktualizować” passkey, MFA albo konfigurację SSO. Ofiara trafia na fałszywą stronę logowania lub zatwierdza dostęp kodem urządzenia. Atakujący nie rejestrują passkey, tylko przechwytują logowanie i tokeny sesji, a potem przez godziny lub dni, wolno i bez gwałtownych pobrań, kopiują pliki z SharePoint, OneDrive i poczty. Microsoft wiąże część tej aktywności z klastrem Storm-3121, powiązanym z ShinyHunters. Ogólny opis techniki jest w temacie phishing.

Telefon do pracownika. Według relacji w przypadku RingCentral wystarczył jeden telefon, bez exploita i bez niezałatanej luki.

Skradzione dane logowania. Floryda potwierdza wyciek przez konto policjanta: według departamentu atakujący użył danych jednego policjanta z Plant City, przechowywanych na prywatnym urządzeniu. Grupa twierdzi, że wykorzystała lukę w resetowaniu haseł i weszła na wiele kont w bazie DAVID, w tym konto agenta FBI. Obie wersje pozostają niezależnie niezweryfikowane. Szerszy kontekst: wycieki z praw jazdy i wycieki z instytucji rządowych.

Czy członkowie ShinyHunters zostali zatrzymani

Tak: zatrzymano dwóch domniemanych członków ShinyHunters, ale grupa nadal ogłasza kolejne ataki. Holenderska policja zatrzymała domniemanego lidera 15 września: 24-latka z Amsterdamu. Według Krebs on Security i Reutersa to Pepijn van der Stap, skazany w 2023 roku za kradzież danych i wymuszenia. Zastępca dyrektora Cyber Division FBI Brett Leatherman nazwał zatrzymanego jednym z domniemanych liderów grupy. ShinyHunters zaprzeczyło, jakoby miał z nią jakikolwiek związek.

Drugie zatrzymanie to Saif al-Din Khader, pseudonim Rey, w Jordanii. Według trzech źródeł został zatrzymany, według dwóch z nich we wtorek, i współpracuje z FBI przy identyfikacji pozostałych hakerów. Okoliczności zatrzymania nie są znane. FBI nie komentuje aresztowań za granicą, ale deklaruje, że doprowadziło już do zatrzymania kilku osób. Więcej takich spraw w temacie zatrzymania cyberprzestępców.

Dlaczego ShinyHunters zaatakowało FBI i Cl0p

ShinyHunters przedstawia atak na FBI jako odwet za raport FLASH, który biuro opublikowało w maju 2026. Pod koniec września grupa przejęła też stronę wyciekową Cl0p. Wersja grupy dotycząca FBI, opisana w relacji BleepingComputer o PeopleSoft: wejście przez niezałataną lukę zero-day w Oracle PeopleSoft, a stamtąd przejście do infrastruktury AWS GovCloud. FBI potwierdziło tylko badanie nieautoryzowanej aktywności wokół FBIjobs.gov. Redakcja 404 Media dostała próbkę około 5 tysięcy rekordów i zweryfikowała część danych. Tydzień później FBI szacowało szkody i zakładało, że skradziono dane wszystkich pracowników, a grupa zażądała zmiany ostrzeżenia FBI na swój temat, co odebrano jako zawoalowaną groźbę publikacji.

Wcześniej, w nocy z 18 września, ShinyHunters zdefaceowało stronę wyciekową Cl0p w sieci Tor: odwiedzający zobaczyli grafikę Pokémona i napis o przejęciu przez ShinyHunters. Grupa twierdzi, że weszła przez lukę w przesyłaniu plików w systemie Grav i zabrała kod źródłowy, wtyczki i logi Cl0p, oraz że ma klucze do usługi onion, czego nie udowodniła. Postawiła 72-godzinne ultimatum. Cl0p nie komentowała.

Co to oznacza dla Ciebie

• Telefon, SMS lub wiadomość od „helpdesku” z prośbą o pilną aktualizację passkey, MFA lub SSO to scenariusz opisany przez Microsoft w kampaniach grup powiązanych z ShinyHunters. Nie klikaj linku z wiadomości, wejdź sam na firmowy portal logowania.
• Administratorom Microsoft 365 Microsoft zaleca MFA odporne na phishing, ograniczenie wrażliwych zasobów do zarządzanych urządzeń i wyłączenie logowania kodem urządzenia, gdy nie jest potrzebne.
• Firmy z Oracle PeopleSoft dostępnym z internetu powinny sprawdzić logi pod kątem wskaźników kompromitacji (adresy IP, skrypt zostawiający notatki okupu) opublikowanych przy kampanii z czerwca.
• Jeśli dostaniesz zawiadomienie o wycieku, monitoruj wyciągi bankowe i raporty kredytowe, zachowaj dokumenty z incydentu i rozważ alert oszustw.

Otwarte pozostaje, czy McKesson i Carhartt potwierdzą liczby podawane przez grupę (284 mln rekordów i 12,9 mln kont), jak daleko sięgnęła kradzież danych w FBI i czy zatrzymania w Holandii i Jordanii spowolnią grupę, skoro nadal ogłasza ataki.