La dernière attaque de ShinyHunters révèle la nature des cyberattaques modernes : la sécurité des identités devient le principal champ de bataille.

Introduction

La récente série d'intrusions du groupe d'attaquants ShinyHunters – impliquant des organisations réputées telles que l'Université de Nottingham, DentaQuest, 7-Eleven, Medtronic et Wynn Resorts – tire à nouveau la sonnette d'alarme pour les responsables de la sécurité : les attaquants contournent les défenses périmétriques traditionnelles et ciblent directement les identités. Ils n'ont plus besoin de logiciels malveillants ni de failles zero-day ; il leur suffit d'identifiants volés, de jetons OAuth et d'ingénierie sociale pour se connecter légitimement et dérober des données sensibles. Cela marque l'entrée de la cybersécurité dans une ère d'attaques centrées sur l'identité.

Aperçu des incidents

Depuis début 2025, le groupe ShinyHunters a divulgué plusieurs violations de données :

• Université de Nottingham : Les attaquants ont volé et divulgué des données d'étudiants et d'employés.
• DentaQuest : Les informations personnelles d'environ 2,6 millions de personnes ont été divulguées.
• 7-Eleven : Après la fuite de données, les attaquants ont formulé des demandes de rançon.
• Medtronic : L'entreprise de dispositifs médicaux a été piratée, ses données menacées de divulgation.
• Wynn Resorts : Environ 21 000 employés ont été touchés.

De plus, ShinyHunters est également lié à des attaques visant les clients de Salesforce Experience Cloud et Snowflake, exploitant des configurations visiteurs trop permissives et des vulnérabilités d'intégration tierces. Ces attaques n'ont pas exploité de vulnérabilités logicielles des plateformes elles-mêmes, mais pointent vers des défauts de contrôle d'identité et d'accès.

Analyse technique et des risques

Méthodes d'attaque

La chaîne d'attaque typique de ShinyHunters comprend :

• Vol d'identifiants : Obtention d'identifiants de connexion d'employés ou de sous-traitants via un malware voleur d'informations (Infostealer).
• Attaque de fatigue MFA : Envoi répété de demandes d'authentification multifacteur jusqu'à ce que l'utilisateur approuve par erreur.
• Ingénierie sociale : Usurpation de l'identité du support informatique (vishing) ou recours à l'assistance pour réinitialiser les identifiants.
• Abus de jetons OAuth : Utilisation de jetons d'applications tierces déjà autorisées pour accéder aux ressources de l'entreprise.
• Exploitation de permissions excessives : Utilisation des permissions non restreintes des visiteurs ou des utilisateurs externes dans les applications SaaS.
• Exploitation de relations de confiance : Mouvement latéral via des identités compromises de fournisseurs, de partenaires ou d'intégrations.

Chaîne d'exploitation

• 1. Accès initial : Obtention d'identifiants valides via un programme de vol d'informations ou un phishing.
• 2. Élévation d'identité : Obtention de droits d'accès plus élevés par fatigue MFA ou ingénierie sociale.
• 3. Mouvement latéral : Utilisation de jetons OAuth ou d'intégrations tierces pour accéder à plusieurs applications SaaS.
• 4. Vol de données : Exportation de données sensibles depuis les CRM, bases de données ou stockages cloud en utilisant des sessions légitimes.### Actifs concernés
• Systèmes d'identité (ex. Okta, Azure AD)
• Applications SaaS (Salesforce, Snowflake, messagerie, etc.)
• API et intégrations tierces
• Systèmes RH et financiers
• Données clients et employés

Analyse de l'impact sur l'entreprise

Ces attaques ont un impact sur les entreprises bien au-delà de la simple fuite de données :

• Risque opérationnel : Les attaques entraînent des arrêts système, des interruptions d'activité et des délais de rétablissement incertains.
• Risque financier : Paiement de rançons, amendes réglementaires, frais de litige et indemnisation des clients.
• Risque de conformité : Violations potentielles du RGPD, du CCPA, de la HIPAA, etc., entraînant de lourdes amendes.
• Risque de marque : Atteinte à la réputation, baisse de la confiance des clients, pouvant entraîner une réduction des revenus.
• Risque de données : Fuite de données sensibles, qui pourraient être utilisées pour des attaques ultérieures ou une exposition publique.

Pour les entreprises des secteurs de la santé, de la finance et des infrastructures critiques, ces attaques peuvent également menacer la sécurité des personnes.

Observations des tendances sectorielles

Le succès de ShinyHunters n'est pas un cas isolé. De plus en plus d'attaquants abandonnent les vulnérabilités complexes pour exploiter les identités et les relations de confiance. Cela marque trois grandes tendances :

1. L'identité est la nouvelle frontière : Les entreprises modernes n'ont plus de périmètre réseau clair ; chaque identité (employé, prestataire, bot) est une porte d'entrée. 2. Les relations de confiance deviennent une surface d'attaque : Les intégrations tierces, les API et les autorisations OAuth élargissent la surface d'attaque ; une compromission peut se propager à d'autres organisations. 3. Les défenses traditionnelles sont inefficaces : Les pare-feu, les EDR et la détection par signatures ne peuvent pas identifier les attaques utilisant des identifiants légitimes.

Le secteur de la sécurité accélère sa transition vers la détection et la réponse aux menaces liées aux identités (ITDR), en mettant l'accent sur la surveillance continue des comportements identitaires, plutôt que de se fier uniquement à des vérifications ponctuelles.

Recommandations de défense et de réponse

Au niveau de l'entreprise - Renforcer la gouvernance des identités : Appliquer le principe du moindre privilège et réviser régulièrement les droits des utilisateurs et des invités. - Déployer complètement l'AMF : Utiliser une AMF résistante au phishing (comme les clés FIDO2) et configurer une protection contre la fatigue de l'AMF (ex. correspondance de numéros). - Surveiller les identités non humaines : Gérer les comptes de service, les clés API et les jetons OAuth, et révoquer les autorisations inutilisées.

Au niveau technique - Déployer des solutions ITDR : Analyser en continu les comportements de connexion, les géolocalisations anormales, les élévations de privilèges et les abus de jetons. - Centralisation et analyse des journaux : Intégrer les journaux des systèmes d'identité, des applications SaaS et des plateformes cloud pour établir une base de référence comportementale. - Réponse automatisée : Désactiver automatiquement les comptes ou déclencher des processus de réponse aux incidents en cas de comportement d'authentification suspect.### Niveau de la gestion - Exercices réguliers : Organiser des exercices d'équipe rouge pour tester les capacités de détection et de réponse aux attaques d'identité. - Gestion des risques tiers : Évaluer les pratiques de sécurité des identités des fournisseurs et intégrateurs, et limiter les intégrations trop autorisées. - Formation à la sécurité : Former les employés à reconnaître les attaques par fatigue MFA, les appels de phishing et l'ingénierie sociale.

SecurityPost Insight

Les méthodes d'attaque de ShinyHunters ne sont pas nouvelles, mais leur succès répété révèle des failles systémiques dans les dispositifs de sécurité des entreprises : les investissements en sécurité restent concentrés sur les terminaux, les réseaux et la gestion des vulnérabilités, tandis que la protection au niveau des identités accuse un grave retard. À l'heure où le cloud hybride et les SaaS se généralisent, chaque identité peut devenir une porte dérobée pour les attaquants. Les entreprises doivent comprendre que la prochaine intrusion majeure ne viendra probablement pas d'une faille exploitée, mais d'un processus de connexion légitime. Adopter une stratégie de sécurité centrée sur l'identité et déployer des capacités de détection spécialisées des menaces liées aux identités est la voie incontournable pour faire face à ces attaques modernes. À l'avenir, les investissements dans le domaine de la gestion des identités et des accès continueront de croître, et les entreprises qui négligent cette tendance en paieront un prix plus élevé.