ReliaQuest affirme avoir été la cible d’une attaque ShinyHunters. Dans un premier temps, l’affaire a été évoquée après la circulation de captures d’écran, puis l’entreprise a fourni des précisions sur la nature de la tentative menée pendant le week-end.
Selon ReliaQuest, les actions observées s’inscrivent dans une campagne de phishing d’envergure associée au groupe ShinyHunters, mais l’impact réel de l’incident aurait été circonscrit grâce aux contrôles de sécurité en place.
Une campagne de phishing associée à ShinyHunters
Le 17 août, ReliaQuest a indiqué suivre une campagne de phishing déjà active. Le mécanisme mentionné repose sur des domaines présentant un motif d’URL du type company.claims, utilisé pour rediriger les victimes vers des pages frauduleuses.
La société explique que cette approche s’appuie sur l’ingénierie sociale pour inciter les équipes à rejoindre une page de connexion contrefaite. L’objectif est d’obtenir des éléments permettant de déclencher une session sur le portail d’identité.
Des usurpations qui s’élargissent : IT, support et équipe juridique
ReliaQuest avertit aussi que les auteurs de la campagne ajustent leurs méthodes. En plus des tentatives d’usurpation visant les équipes IT et le help desk, la tactique s’étendrait désormais à l’impersonation de l’équipe juridique.
Concrètement, les attaquants chercheraient à augmenter leurs chances d’aboutir en s’adressant aux bonnes personnes au bon moment, avec un discours adapté à leur rôle interne.
Des captures d’écran et un message provocateur
Après la publication initiale (depuis supprimée) sur le réseau X, un tiers a partagé plusieurs captures d’écran. Celles-ci sembleraient montrer un accès à un tableau de bord d’Okta.
Les mêmes visuels auraient ensuite été repostés sur le site de ShinyHunters, accompagnés d’un message destiné à narguer ReliaQuest. Pour l’entreprise, ces éléments s’inscrivent dans la tentative de manipulation visant à obtenir un accès à partir d’informations de connexion.
Le scénario de l’attaque : domaine factice et page SSO
ReliaQuest rapporte que l’incident s’est déroulé pendant le week-end. D’après ses informations, les attaquants ont commencé par enregistrer un domaine usurpé puis l’ont configuré pour héberger une page de phishing SSO.
Une fois la page en place, l’acteur malveillant aurait procédé par appels téléphoniques vers plusieurs membres de ReliaQuest. L’objectif était de les amener vers la page frauduleuse en se présentant comme un employé sécurité, en citant des noms précis.
Quand une notification approuve la connexion
L’entreprise décrit qu’un membre de l’équipe a saisi son mot de passe et a aussi validé une notification push depuis son téléphone. À ce stade, l’attaquant aurait obtenu une session brève sur le tableau de bord d’identité.
Ce point est central : la compromission ne serait pas seulement liée à la saisie de mots de passe, mais aussi à la validation de l’authentification, qui a permis une première fenêtre d’accès.
Accès en lecture seule et blocage par les contrôles
ReliaQuest indique que les attaquants n’auraient obtenu qu’un accès en lecture seule au tableau de bord. L’entreprise ajoute que ses applications, systèmes et données clients n’auraient pas été compromises.
Selon la société, l’acteur malveillant a ensuite tenté d’aller plus loin depuis le tableau de bord. Toutefois, les tentatives auraient été refusées de manière répétée du fait des contrôles de sécurité déjà déployés.
En clair : même avec une session temporaire, la progression vers des cibles plus sensibles n’aurait pas franchi les garde-fous mis en place.
Ce que ReliaQuest affirme avoir évité
Dans sa réponse à l’incident, ReliaQuest précise plusieurs éléments importants pour mesurer l’ampleur réelle de l’attaque. L’entreprise affirme que :
- Aucune identité supplémentaire n’aurait été accédée.
- Aucune application métier n’aurait été atteinte via l’accès au tableau de bord.
- Aucune donnée client (ni donnée propre à ReliaQuest) n’aurait été consultée au-delà des informations liées à la connexion de l’utilisateur.
- Aucune persistance n’aurait été établie.
ReliaQuest insiste également sur un point de clarification : les allégations selon lesquelles l’entreprise serait compromise ou ciblée par un rançongiciel seraient fausses.
Pourquoi ce type d’attaque peut réussir, même sans compromission de données
Même lorsque l’impact est limité, ce scénario montre comment une attaque ShinyHunters peut combiner plusieurs leviers : phishing, domaine frauduleux, et manipulation directe des équipes par téléphone.
Le moment où l’attaquant obtient une validation (mot de passe et approbation push) constitue un risque immédiat. Ensuite, le résultat dépend fortement de la qualité des contrôles : segmentation des accès, politiques de sécurité, limitations sur les actions possibles, et capacité à empêcher l’escalade.
Dans le cas présent, ReliaQuest attribue la limitation de l’impact aux mécanismes de protection ayant empêché l’accès aux applications et aux systèmes visés.
Mesures recommandées pour réduire le risque d’ingénierie sociale
Au-delà de l’incident en lui-même, cette affaire rappelle l’importance de renforcer les pratiques internes, en particulier contre l’usurpation d’identité et les demandes de connexion inattendues.
1) Vérifier les demandes de connexion et les liens
Les pages SSO contrefaites cherchent souvent à faire croire que l’utilisateur s’apprête à se connecter via un environnement légitime. Mettre en place des routines de vérification (canal interne, annuaire, références techniques) aide à réduire les erreurs.
2) Réduire la confiance accordée aux appels entrants
Quand l’attaquant téléphone en citant un nom ou un rôle précis, la pression psychologique augmente. Définir des procédures de confirmation “hors bande” (par exemple via un circuit interne) limite l’efficacité de ces appels.
3) Former régulièrement les équipes exposées
Les employés IT, support et, ici, même le juridique, peuvent être ciblés. Une formation courte et répétée sur les signaux d’usurpation et sur les comportements attendus en cas de doute reste un levier concret.
Conclusion
ReliaQuest confirme avoir été visée par une attaque ShinyHunters liée à une campagne de phishing basée sur des domaines au motif company.claims. L’entreprise reconnaît qu’une tentative d’ingénierie sociale a abouti à une session temporaire après la validation d’une authentification, mais affirme que l’accès est resté limité.
D’après ses déclarations, l’acteur n’aurait ni compromis les applications et systèmes, ni atteint des données clients, ni établi de persistance. ReliaQuest réfute en outre les affirmations liées à un éventuel scénario de rançongiciel.
Source: https://www.securityweek.com/reliaquest-confirms-shinyhunters-hack-but-says-impact-was-limited/
