Der Ablauf des Angriffs folgte einem Muster, das ReliaQuest kurz zuvor selbst öffentlich beschrieben hatte. Die Täter setzten eine nachgebaute SSO-Anmeldeseite auf einer eigens registrierten Domain auf und riefen dann gezielt Beschäftigte an – jeweils unter dem Namen eines echten Sicherheitsmitarbeiters des Unternehmens, um die Angerufenen auf die gefälschte Seite zu lenken.
„Ein Kollege gab sein Passwort ein und bestätigte die Push-Benachrichtigung auf seinem Telefon. Damit erhielt der Angreifer eine kurze Sitzung auf unserem Identitäts-Dashboard", erklärte das Unternehmen.
Nach Darstellung von ReliaQuest beschränkte sich der Zugriff auf eine Ansicht ohne Schreibrechte. Anwendungen, Systeme und Kundendaten seien nicht kompromittiert worden. Der Angreifer habe wiederholt versucht, aus dem Dashboard heraus auf angebundene Anwendungen zuzugreifen, sei dabei aber durchweg an den bestehenden Sicherheitskontrollen gescheitert.
„Es wurden keine weiteren Identitäten erreicht, keine Geschäftsanwendungen erreicht, über die Anmeldedaten des Nutzers hinaus keine Kunden- oder ReliaQuest-Daten abgerufen und keine Persistenz eingerichtet", teilte das Unternehmen mit. Behauptungen, ReliaQuest sei kompromittiert oder Ziel eines Ransomware-Angriffs geworden, seien falsch.
Die von ReliaQuest beschriebene Kampagne verwendet Domains mit dem URL-Muster „company.claims". Bemerkenswert ist die von den Analysten festgestellte Ausweitung der Vorwände: ShinyHunters gibt sich demnach nicht mehr nur als IT-Support oder Helpdesk aus, sondern zunehmend auch als Rechtsabteilung des jeweiligen Zielunternehmens.
Die Angreifer nutzten die öffentliche Warnung anschließend für ihre eigene Darstellung: Unter dem – später gelöschten – Beitrag auf X tauchten Screenshots auf, die den Zugang zum Okta-Dashboard von ReliaQuest belegen sollten. Parallel veröffentlichte ShinyHunters die gleichen Bilder auf der eigenen Leak-Website und verband sie mit einer Verhöhnung des Sicherheitsanbieters.