ReliaQuest hat bestätigt, dass das Unternehmen Ziel eines ShinyHunters-Angriff war. Die Security-Firma berichtet von einer über das Wochenende laufenden Social-Engineering-Aktion, bei der Angreifer auf einen gefälschten Login-Flow setzten. Gleichzeitig betont ReliaQuest, dass die Auswirkungen nach eigenen Angaben begrenzt waren und keine weiteren Systeme oder Daten kompromittiert wurden.
Ausgangspunkt war eine groß angelegte Phishing-Kampagne, die ReliaQuest mit einer wiederkehrenden Domain-Struktur in Verbindung bringt. Darüber hinaus stellt das Unternehmen klar, dass die Angreifer ihre Methoden weiterentwickeln: Neben IT- und Helpdesk-Mitarbeitern sollen nun auch Rollen aus dem juristischen Bereich imitiert werden.
ReliaQuest verfolgt die Phishing-Kampagne mit typischer Domain-Struktur
ReliaQuest erklärte, es habe bereits eine breit gestreute Phishing-Aktion im Blick gehabt. Laut Unternehmensangaben betraf diese Kampagne Domains, die sich durch ein spezifisches URL-Muster im Stil von company.claims auszeichnen. Am 17. August berichtete ReliaQuest öffentlich über die Beobachtungen in einem Beitrag, der später wieder gelöscht wurde.
Nachdem der Beitrag nicht mehr verfügbar war, tauchten jedoch Screenshots auf, die nach Darstellung der Beteiligten einen Zugriff auf ein Okta-Dashboard von ReliaQuest zeigen. Diese Bilder wurden offenbar auch auf der ShinyHunters-Seite veröffentlicht – begleitet von einer spöttischen Botschaft gegen die Security-Firma.
Imitation wird breiter: von IT bis juristischer Teamrolle
Ein weiterer Punkt, den ReliaQuest hervorhebt, betrifft die Strategie der Angreifer. Die Gruppe soll ihre Social-Engineering-Ansätze ausbauen und nun zusätzlich zur klassischen IT- oder Helpdesk-Impersonation auch eine Imitation von Mitgliedern des Legal-Teams einplanen. Damit erhöhen Angreifer den Druck auf verschiedene interne Rollen und können leichter an die jeweils passende Zielperson gelangen.
Für Unternehmen bedeutet das: Sicherheitsmechanismen allein reichen nicht, wenn Identitäten durch Telefonate, dringliche Anliegen und Rollenwissen in eine kompromittierende Interaktion gedrängt werden.
Gefälschte Domain und SSO-Phishing-Seite
Nach Darstellung von ReliaQuest registrierten die Angreifer eine falsche Domain und richteten darauf eine SSO-Phishing-Seite ein. Im Kern ging es darum, Teammitglieder über einen Anruf zur Nutzung der manipulierten Seite zu bewegen.
ReliaQuest beschreibt den Ablauf so, dass der Angreifer in mehreren Telefonaten jeweils als ein Sicherheitsmitarbeiter ausgab – dabei jeweils namentlich, um Vertrauen zu erzeugen. Das Ziel: die angesprochene Person dazu zu bringen, die gefälschte Seite aufzurufen und Anmeldeinformationen preiszugeben bzw. Sicherheitsbestätigungen zu erteilen.
Ein Passwort-Fehler und eine Push-Bestätigung reichen
In mindestens einem Fall berichtet ReliaQuest, dass ein Teammitglied sein Passwort eingab und zudem eine Push-Benachrichtigung auf dem Smartphone freigab. Genau diese Kombination habe dem Angreifer eine kurze Sitzung auf dem Identitätsdashboard ermöglicht.
Das zeigt, wie entscheidend die praktische Bedienlogik von Multi-Faktor-Mechanismen ist: Wenn ein Angreifer die Person in einen echten Entscheidungsprozess bringt, kann ein einziges legitimes Bestätigen die Angriffsphase kurzzeitig öffnen.
Was die Angreifer konnten – und was nicht
ReliaQuest stellt anschließend klar, welche Zugriffsgrenzen durch die Sicherheitskontrollen gezogen wurden. Laut Unternehmen erhielt der Angreifer lediglich View-only-Zugriff auf das Dashboard. Das bedeutet: Anzeigen, aber keine weitergehenden Aktionen oder Inhalte, die zu einer vollständigen Übernahme geführt hätten.
Darüber hinaus beschreibt ReliaQuest, dass die Angreifer weiterhin versucht hätten, Anwendungen über das Dashboard zu erreichen. Diese Versuche seien jedoch wiederholt fehlgeschlagen, weil die vorhandenen Sicherheitsvorkehrungen greift hätten und Zugriffe konsequent verweigert worden seien.
Keine Kompromittierung von Daten, keine Persistence
Besonders deutlich fällt die Stellungnahme zu den Auswirkungen aus. ReliaQuest sagt, dass keine zusätzlichen Identitäten betroffen gewesen seien, keine Business- Anwendungen erreicht wurden und keine Kundendaten oder ReliaQuest-Daten über die anfänglichen Login-Credentials hinaus zugänglich waren.
Außerdem behauptet das Unternehmen, es sei keine Persistence etabliert worden – also keine dauerhafte Hintertür oder Hinterlegung, die einen langfristigen Zugriff ermöglicht hätte.
Ransomware-Behauptungen weist ReliaQuest als falsch zurück
Im Zusammenhang mit der Veröffentlichung auf der ShinyHunters-Seite kursieren offenbar Behauptungen, dass ReliaQuest kompromittiert worden sei oder Ziel eines Ransomware-Vorfalls wurde. ReliaQuest widerspricht dem ausdrücklich: Das Unternehmen bezeichnet solche Aussagen als falsch und stellt klar, dass der Vorfall nicht in diesem Umfang eingetreten sei.
Für die Einordnung ist wichtig, dass die Angreifer zwar kurzfristig Zugriff auf eine Identitätskomponente erlangen konnten, ReliaQuest jedoch weiterhin betont, dass die echten Systeme, Anwendungen und Kundendaten nicht erreicht wurden.
Einordnung: Warum der ShinyHunters-Angriff so wirksam wirkt
Auch wenn ReliaQuest den Impact begrenzt beschreibt, bleibt der Vorfall ein Lehrstück für moderne Angriffe: Social Engineering wird mit technischen Zugangspunkten verbunden. Der Angreifer beginnt mit Kommunikation, nutzt Rollenwissen, setzt auf Dringlichkeit und führt dann in einen Prozess, bei dem ein MFA-Element durch eine freigegebene Push-Bestätigung kurzfristig überbrückt werden kann.
Unternehmen sollten daraus vor allem zwei Dinge mitnehmen: Erstens braucht es Schulungen, die Telefon- und Rollenbetrug realistisch abbilden. Zweitens müssen Identitäts- und Zugriffskontrollen so gestaltet sein, dass ein kurzfristig erlaubter Zugang nicht automatisch zu einem dauerhaften Zugriff oder zum Erreichen von Anwendungen führt.
Fazit
Der ShinyHunters-Angriff auf ReliaQuest zeigt, wie zielgerichtetes Phishing und Social Engineering zusammenspielen können. ReliaQuest bestätigt die Attacke, inklusive gefälschter Domain und SSO-Phishing-Seite, und betont zugleich, dass der Zugriff laut eigenen Angaben auf View-only beschränkt blieb. Zudem seien keine zusätzlichen Identitäten, keine Business- Anwendungen und keine Kundendaten kompromittiert worden. Behauptungen über eine weitreichende Kompromittierung oder Ransomware weist ReliaQuest zurück.
Quelle: https://www.securityweek.com/reliaquest-confirms-shinyhunters-hack-but-says-impact-was-limited/
