ShinyHunters не взламывали Salesforce. Они позвонили сотруднику Amtrak и попросили его сделать это самому.
В апреле 2026 года на leak-сайте группировки появился дамп национального железнодорожного оператора США. По данным Have I Been Pwned — 2 147 679 записей: email-адреса, имена, физические адреса, тикеты техподдержки. Сами хакеры называли цифру 9,4 млн — классический приём давления на жертву, завышение в четыре раза.
Но Amtrak здесь не исключение. С середины 2025 года ShinyHunters методично проходятся по клиентам Salesforce. По данным отчёта Confidence Staveley, кампания затронула около 91 компании: Google, Workday, Qantas, Chanel, Allianz Life. И ни в одном случае атакующие не эксплуатировали баги платформы. Они эксплуатировали людей.
🎯 Схема атаки выглядит так:
1. Разведка — перед звонком атакующие собирают имена реальных сотрудников IT-поддержки, номера открытых тикетов, названия внутренних приложений. Иногда через автоматизированные телефонные системы с предзаписанными меню.
2. Вишинг — оператор звонит сотруднику, представляясь IT-поддержкой. Знает твой последний тикет и имя тимлида. Скептицизм тает быстро.
3. Вредоносный Data Loader — жертву просят установить «обновлённую версию» легитимного инструмента Salesforce. Varonis фиксировал случаи с названием
My Ticket Portal.4. OAuth Device Code Flow — жертву направляют на настоящую страницу
login.salesforce.com, просят ввести код подключения. С её точки зрения — стандартная процедура. С точки зрения атакующего — жертва только что авторизовала вредоносный Connected App.⚠️ Самое элегантное здесь — MFA не помогает. Аутентификацию прошёл легитимный пользователь. Токен ушёл атакующему. Галочка стоит. Дальше через Salesforce API идут массовые SOQL-запросы к объектам
Contact, Account, Case, Lead — и всё это выглядит как обычный рабочий день администратора.🔍 Что искать в своём окружении:
• Новые Connected Apps с OAuth Device Flow, которые никто не регистрировал
• Аномальный объём SOQL-запросов от одного пользователя за короткий период
• Активность Data Loader API в нерабочее время или с нетипичных IP
• Авторизации Connected Apps без предшествующего IT-тикета
🧩 ShinyHunters работают в связке со Scattered Spider (UNC3944). Разделять их TTPs при построении detection rules — ошибка. Вишинг, SIM-свопинг, злоупотребление OAuth — одна операционная модель.
Вымогательство при этом может наступить спустя месяцы после компрометации. Вы уже можете быть внутри чужого дампа.
В полной статье — детальный маппинг на MITRE ATT&CK и detection-чеклист с конкретными запросами. Читайте.
https://codeby.net/threads/shinyhunters-vzlom-amtrak-razbor-ataki-cherez-salesforce-ttps-i-detection-cheklist.92862/