ADT äußerte sich gegenüber BleepingComputer und grenzte den Umfang des Vorfalls ein. „Die Untersuchung bestätigte, dass die betroffenen Informationen auf Namen, Telefonnummern und Adressen beschränkt waren", teilte das Unternehmen mit. In wenigen Fällen seien zusätzlich Geburtsdaten sowie die letzten vier Ziffern von Sozialversicherungs- oder Steuernummern betroffen gewesen. Entscheidend sei, dass keine Zahlungsdaten – weder Bankkonten noch Kreditkarten – abgeflossen seien und die Sicherheitssysteme der Kunden unangetastet blieben.
Auf ihrer Leak-Seite gehen die Angreifer deutlich weiter: Dort behaupten sie, mehr als zehn Millionen Datensätze mit personenbezogenen und internen Unternehmensdaten erbeutet zu haben. „Zahlt oder wir veröffentlichen", heißt es in dem Eintrag, verbunden mit einer als letzte Warnung formulierten Frist zum 27. April 2026 und der Androhung weiterer digitaler Probleme. ADT bestätigte die von den Angreifern genannte Datenmenge nicht.
Gegenüber BleepingComputer schilderte ShinyHunters den Angriffsweg: Über einen Voice-Phishing-Angriff (Vishing) sei das Okta-Single-Sign-on-Konto (SSO) eines Mitarbeiters übernommen worden. Mit diesem Zugang hätten die Täter nach eigener Darstellung auf die Salesforce-Umgebung des Unternehmens zugegriffen und dort Daten abgezogen.
Die Erpressergruppe führt nach Angaben des Berichts seit dem vergangenen Jahr breit angelegte Vishing-Kampagnen durch, die auf Microsoft-Entra-, Okta- und Google-SSO-Konten von Mitarbeitern und Beschäftigten in ausgelagerten Dienstleistungszentren (BPO) abzielen. Nach der Übernahme eines Firmen-SSO-Kontos entwenden die Angreifer Daten aus angebundenen SaaS-Anwendungen wie Salesforce, Microsoft 365, Google Workspace, SAP, Slack, Adobe, Atlassian, Zendesk und Dropbox. Die gestohlenen Daten dienen anschließend als Druckmittel, um das betroffene Unternehmen zur Zahlung eines Lösegelds zu bewegen.
ADT hatte bereits im August und Oktober 2024 Datenlecks offengelegt, bei denen Kunden- und Mitarbeiterinformationen offengelegt wurden.