Nach Angaben von Have I Been Pwned stammen die offengelegten Informationen aus einem Angriff der Erpressergruppe ShinyHunters auf RingCentral. Der Dienst teilte nach einer Analyse der veröffentlichten Dateien mit, dass sich darin Datensätze zu 1,6 Millionen Konten befänden. Enthalten seien Namen, E-Mail-Adressen, Telefonnummern und postalische Anschriften.
RingCentral hatte den Vorfall am 28. Juli öffentlich gemacht. Das Unternehmen erklärte damals, seine Systeme seien infolge einer „ausgeklügelten Social-Engineering-Kampagne“ kompromittiert worden. Gleichzeitig teilte RingCentral mit: „Seit wir diese Gegenmaßnahmen ergriffen haben, haben wir keine neuen unbefugten Aktivitäten beobachtet.“ Zudem habe der Vorfall nur Daten eines begrenzten Teils der RingCentral-Kunden betroffen. Wer keine Nachricht von RingCentral erhalte, sei nicht betroffen. Die Kernplattform sei nicht berührt worden, und die Dienste seien ohne Unterbrechung weiter verfügbar.
Einen konkreten Urheber nannte RingCentral bislang nicht und veröffentlichte auch keine weiteren technischen Details zum Ablauf des Einbruchs. ShinyHunters reklamierte den Angriff jedoch bereits am 27. Juli für sich und behauptete, 623 Gigabyte an Daten entwendet zu haben.
Nachdem RingCentral nach Darstellung des Quelltexts kein Lösegeld zahlte, um die Vernichtung der gestohlenen Daten zu erreichen, veröffentlichte die Gruppe auf ihrer Leak-Seite im Darknet ein komprimiertes Archiv mit Dateien im Umfang von 280 Gigabyte. Ein Sprecher von RingCentral reagierte laut BleepingComputer zunächst nicht auf eine Anfrage zur Bestätigung der Behauptungen von ShinyHunters.
Have I Been Pwned bestätigte den Zusammenhang jedoch nach eigener Auswertung des Leaks. Der Dienst schrieb dazu, RingCentral sei im Juli 2026 Ziel einer „Zahlen oder veröffentlichen“-Erpressungskampagne von ShinyHunters geworden.
Wie die Angreifer Zugang zu den Systemen erhielten, hat RingCentral bislang nicht näher erläutert. Im Quelltext wird zugleich auf weitere von ShinyHunters beanspruchte Angriffe verwiesen: Die Gruppe habe im vergangenen Jahr bei Hunderten Salesforce-Kunden Einbrüche für sich reklamiert und dabei nach eigenen Angaben in Kampagnen gegen Salesloft Drift und Salesforce Aura mehr als 1,5 Milliarden Datensätze erbeutet. Außerdem wurde die Gruppe mit Sicherheitsvorfällen bei mehr als einem Dutzend Snowflake-Kunden sowie bei verschiedenen weiteren Anbietern von Drittanbieter-Integrationen in Verbindung gebracht.
Zuletzt reklamierte ShinyHunters laut Quelltext zudem eine neue Serie von Einbrüchen bei mehr als 100 Organisationen nach Datendiebstahl-Angriffen, die eine Zero-Day-Schwachstelle in Oracle PeopleSoft ausnutzten.