ReliaQuest hat an einem Wochenende in einer Stellungnahme eingeräumt, dass Angreifer per Telefon mehrere Beschäftigte kontaktiert und dabei den Namen eines echten Sicherheitsmitarbeiters des Unternehmens verwendet haben. Ziel war es, die Angerufenen auf eine nachgebaute SSO-Anmeldeseite zu leiten. Die Phishing-Seite lag laut Unternehmen auf einer täuschend ähnlichen Domain; BleepingComputer erfuhr aus Quellen, dass es sich um reliaquest.claims handelte.
Ein Mitarbeiter gab seine Zugangsdaten ein und genehmigte anschließend eine MFA-Push-Anfrage. Der Angreifer erhielt dadurch zeitweise Einsicht in das Identitäts-Dashboard. Sämtliche Versuche, von dort aus auf Anwendungen zuzugreifen, wurden nach Darstellung des Unternehmens durch Device-Trust-Mechanismen blockiert. „Der Zugriff beschränkte sich auf Lesezugriff. Es wurde auf keine Anwendungen oder Systeme von ReliaQuest zugegriffen, und Kundendaten wurden zu keinem Zeitpunkt berührt“, teilte die Firma mit. „Der Angreifer versuchte weiterhin, über das Dashboard auf diese Anwendungen zuzugreifen, wurde aber aufgrund der vorhandenen Sicherheitskontrollen durchgängig abgewiesen.“
Als Reaktion beendete ReliaQuest die Sitzungen des Angreifers, sperrte das offengelegte Passwort und setzte alle Authentifizierungstoken zurück. Die anschließende Untersuchung ergab keine Hinweise auf Zugriffe auf weitere Konten, Anwendungen oder Daten und keine Anzeichen dafür, dass sich der Angreifer dauerhaft in den Systemen eingenistet hätte. Eine Prüfung der Kontrollmechanismen, des Device Trust und der Zugriffe im Netzwerk seit dem 21. August förderte laut Unternehmen keine verdächtigen Aktivitäten zutage.
Der Vorfall hat eine besondere Vorgeschichte: Kurz zuvor hatte das Threat-Research-Team von ReliaQuest in einem inzwischen gelöschten Beitrag auf X berichtet, dass die Erpressergruppe ShinyHunters Domains unter der Top-Level-Domain .claims registriert, um Helpdesks und IT-Abteilungen von Unternehmen zu imitieren. „ReliaQuest verfolgt eine breit angelegte ShinyHunters-Kampagne mit Domains nach dem Muster unternehmen[.]claims. Diese Domains enthalten den Namen oder das Kürzel der angegriffenen Organisation unter der Top-Level-Domain .claims“, hieß es in dem Beitrag.
Auf diesen Post antwortete ein neu erstelltes X-Konto, das den Angreifern zugeordnet wird, mit der Frage „Wer jagt hier wen?“ und veröffentlichte Screenshots eines offenbar kompromittierten Okta-SSO-Kontos eines ReliaQuest-Mitarbeiters. Kurz darauf tauchten dieselben Aufnahmen in einem neuen Eintrag auf der Leak-Seite von ShinyHunters auf. Beide Beiträge auf X wurden später entfernt.
In ihrem Eintrag auf dem Erpressungsportal spielt die Gruppe auf die frühere Berichterstattung von ReliaQuest an: „Diesmal geht es in dem Beitrag um euch, nicht um uns.“ Auf Nachfrage von BleepingComputer, ob der offengelegte Vorfall mit ShinyHunters zusammenhängt, hat ReliaQuest bislang keine weiteren Angaben gemacht.
Die Angreifer selbst bestätigten gegenüber BleepingComputer die Darstellung des Unternehmens: „Es wurde auf keine weiteren Identitäten zugegriffen, keine Geschäftsanwendungen erreicht, keine Kunden- oder ReliaQuest-Daten über die Anmeldedaten des Nutzers hinaus abgerufen, und es wurde keine Persistenz eingerichtet.“