ReliaQuest heeft bevestigd dat het doelwit is geweest van een aanval die is gekoppeld aan ShinyHunters phishing. Volgens het cybersecuritybedrijf was de impact echter beperkt: de aanvallers zouden alleen zichtrechten hebben gekregen in een identiteitsdashboard en zijn daarna herhaaldelijk geweerd door bestaande beveiligingscontroles.
De affaire begon met een phishingcampagne die ReliaQuest eerder volgde. Daarna doken screenshots op die op een Okta-dashboard zouden wijzen, maar ReliaQuest ontkent dat het bedrijf volledig is gecompromitteerd.
Wat ReliaQuest onthult over de ShinyHunters phishingaanval
ReliaQuest gaf op 17 augustus via een post op X aan dat het een wijdverbreide campagne in de gaten hield die gelinkt werd aan ShinyHunters. De campagne zou gebruikmaken van domeinen met een herkenbaar patroon: URL’s met “company.claims”.
Het bedrijf benadrukte dat de aanvallers hun aanpak uitbreiden. Naast het gebruik van traditionele social engineering richting IT- en helpdeskmedewerkers zouden ze ook juridische teams
SSO-nabootsing: zo kreeg de aanvaller toegang tot het identiteitsdashboard
ReliaQuest stelde later, in een reactie op maandag, dat de aanval in het weekend plaatsvond als een social engineering-inschatting. De kern van de methode was dat de aanvallers een valse domeinnaam registreerden en daarmee een SSO-phishingpagina konden aanbieden.
Vervolgens belde de aanvaller volgens ReliaQuest meerdere teamleden. Telkens presenteerde de aanvaller zich als een bestaande medewerkernaam. Het doel was om de collega’s richting de nep-SSO-pagina te sturen.
In een van de gevallen gebeurde het ongunstige scenario: een medewerker zou zijn wachtwoord hebben ingevoerd en ook een push-melding op een telefoon hebben goedgekeurd. Volgens ReliaQuest gaf dat de aanvaller een korte sessie in het identity dashboard—met als resultaat toegang binnen de omgeving.
Toegang “view-only”: waarom de impact beperkt bleef
ReliaQuest zegt dat de aanvaller geen volledige controle kreeg. De toegestane rechten zouden beperkt zijn gebleven tot view-only binnen het dashboard.
Daarna probeerde de aanvaller volgens het bedrijf de apps en systemen te benaderen vanuit die dashboardcontext. Toch zouden die pogingen consequent zijn geblokkeerd door de beveiligingsmaatregelen die ReliaQuest volgens eigen zeggen al op orde had.
Het bedrijf noemt daarbij expliciet dat de aanval niet heeft geleid tot een daadwerkelijke toegang tot bedrijfsapplicaties, systemen of klanteninformatie.
Wat was er wel en niet gecompromitteerd?
Om verwarring te voorkomen, zette ReliaQuest de feiten scherp op een rij. Het bedrijf stelt het volgende:
- Geen extra identiteiten zijn benaderd of geactiveerd buiten de gebruikerssessie die al was ingewilligd.
- Geen business applicaties zijn bereikt via het dashboard.
- Geen klant- of ReliaQuest-data is toegankelijk geweest, behalve de gegevens die al horen bij de login van de gebruiker (zoals de gebruikte inlogcredential).
- Geen persistence (blijvende aanwezigheid) is opgezet.
- Claims dat het bedrijf volledig is “gecompromitteerd” of gericht werd voor ransomware worden door ReliaQuest als onwaar bestempeld.
Dat laatste punt is relevant, omdat bij dit soort claims—zeker nadat er screenshots circuleren—snel kan worden geconcludeerd dat er meer aan de hand was dan in werkelijkheid.
Screenshots en publiciteit: waarom dit vaker gebeurt bij echte incidenten
Op basis van de eerdere social posts doken screenshots op die leken op toegang tot een ReliaQuest Okta-dashboard. Diezelfde screenshots zouden ook op de website van ShinyHunters zijn geplaatst, inclusief een spotboodschap.
Hoewel dergelijke beelden indrukwekkend ogen, zegt ReliaQuest dat ze niet gelijkstaan aan volledige systeemcompromittering. In veel gevallen gaat het om tijdelijke sessies en beperkte rechten, waarna moderne toegangscontroles de aanval afkappen.
Benieuwd hoe identiteits- en toegangsincidenten zich vertalen naar concrete risico’s en vervolgstappen? In het bredere kader van account- en toegangsmisbruik is dit onderwerp ook relevant: Keycloak wachtwoordreset-lek: accountovername mogelijk behandelt hoe een zwakke schakel in authenticatie kan leiden tot escalatie.
De belangrijkste les: social engineering blijft een toegangspoort
De ReliaQuest-casus laat zien dat technische beveiliging en procesbeheersing twee kanten hebben. De aanvallers waren niet alleen afhankelijk van phishinglinks, maar vooral van het menselijke moment waarop iemand de juiste verzoeken “gelooft” en acties uitvoert.
Door te bellen, intern taalgebruik te imiteren en medewerkers bij naam te benaderen, ontstaat er druk om snel te handelen. Als dan ook nog een SSO-stap wordt nagemaakt, kan een aanvaller via een korte sessie toch binnenkomen.
Tegelijk blijkt uit de reactie van ReliaQuest dat beveiligingscontroles een belangrijk verschil kunnen maken zodra toegang wordt verkregen. View-only rechten, plus verdere blokkades op het moment dat de aanvaller toepassingen wil openen, beperken de schade.
Praktische aandachtspunten voor organisaties
Op basis van wat ReliaQuest beschrijft, zijn er een paar concrete aandachtspunten voor securityteams en IT-organisaties:
- Train teams tegen impersonatie, niet alleen richting IT/helpdesk, maar ook richting juridische of andere afdelingen die soms buiten het “standaard securitypad” vallen.
- Maak SSO-workflows bespreekbaar: welke stappen zijn “verdacht”, en hoe herken je een nep-SSOpagina?
- Beperk rechten waar mogelijk, zodat een ingelogde sessie niet automatisch kan uitgroeien tot bredere toegang.
- Werk met controles die misbruik stoppen zodra een aanvaller verder wil dan wat nodig is (bijvoorbeeld bij toegang tot applicaties).
Wil je weten welke rol snelle detectie en respons kan spelen in identiteitsgerelateerde aanvallen? Dan past ook: Wazuh AI: sneller reageren in je SOC bij het bredere onderwerp van het versnellen van incidentrespons.
Conclusie
De melding van ReliaQuest bevestigt dat ShinyHunters phishing in de praktijk niet alleen draait om massale e-mails, maar om een gerichte social engineering-aanpak die via SSO-nabootsing toegang kan proberen te krijgen. In dit geval zegt ReliaQuest dat de aanvallers slechts view-only toegang kregen en dat pogingen om door te stoten op beveiligingscontroles stuitten.
Voor organisaties is de belangrijkste boodschap helder: bij dit soort aanvallen draait schade maken vaak om het moment waarop een medewerker een nep-flow activeert. Tegelijk laat het incident zien dat goede toegangsbeperkingen en controles ervoor kunnen zorgen dat de impact beperkt blijft—ook als de eerste stap lukt.
Bron: https://www.securityweek.com/reliaquest-confirms-shinyhunters-hack-but-says-impact-was-limited/
