Nach eigener Darstellung begann der Zugriff am 3. September. Die Angreifer sollen sich über die kompromittierten Konten durch die Datensätze anhand von IDs gearbeitet und die zugehörigen HTML-Seiten sowie Bilder heruntergeladen haben. Auf diesem Weg seien mehr als 200.000 Datensätze abgeflossen. Inzwischen habe man den Zugang wieder verloren, sagte die Gruppe BleepingComputer; die ausgenutzte Schwachstelle im Passwort-Reset werde derzeit behoben.
Der veröffentlichte Screenshot zeigt, wie umfangreich die in DAVID hinterlegten Informationen sind: Neben den Stammdaten enthält die Oberfläche Reiter für Führerscheintransaktionen, Adressen, Versicherungsdaten, frühere Fahrzeuge und Parkausweise.
Eine Quelle sagte BleepingComputer, die Täter nähmen mittels Social-Engineering-Angriffen auch DMV-Plattformen weiterer US-Bundesstaaten ins Visier. Auf Nachfrage erklärte ShinyHunters, man rechne damit, in den kommenden Wochen weitere Einbrüche bekanntzugeben.
ShinyHunters ist als Erpressergruppe bekannt, die Webanwendungen und Cloud-SaaS-Umgebungen angreift, um Daten zu stehlen. Der Name wird seit 2018 mit einer Vielzahl von Akteuren und Datenlecks in Verbindung gebracht; im vergangenen Jahr entwickelten sich die unter diesem Label agierenden Gruppen zu einem der aktivsten Erpressernetzwerke weltweit.
Zunächst standen Salesforce und andere Cloud-SaaS-Umgebungen im Mittelpunkt. Inzwischen wird die Gruppe mit Vorfällen bei Unternehmen wie Google, Cisco, PornHub und dem Dating-Konzern Match Group in Verbindung gebracht. Typisch ist der Einbruch bei Drittanbietern für Integrationen: Mit dort erbeuteten Authentifizierungs-Token greifen die Täter auf angebundene SaaS-Umgebungen zu und ziehen Kundendaten ab.
Zuletzt setzte die Gruppe verstärkt auf Voice-Phishing gegen Single-Sign-on-Konten bei Okta, Microsoft und Google. Dabei geben sich die Anrufer als IT-Support aus und bringen Beschäftigte dazu, Zugangsdaten und MFA-Codes auf Phishing-Seiten einzugeben. Wie BleepingComputer zuerst berichtete, nutzt ShinyHunters zudem sogenanntes Device-Code-Vishing, um Authentifizierungs-Token für Microsoft-Konten zu erlangen. Mit den übernommenen SSO-Konten dringen die Angreifer anschließend in angebundene Unternehmensdienste wie Salesforce, Microsoft 365, Google Workspace, SAP, Slack, Adobe, Atlassian, Zendesk und Dropbox ein.
Auf das Konto der Gruppe geht auch ein groß angelegter Datendiebstahl bei Instructure Canvas im Mai, der erhebliche Ausfälle der Plattform verursachte. Das Unternehmen schloss den Angaben zufolge schließlich eine „Vereinbarung" mit den Tätern, um die Veröffentlichung der gestohlenen Daten zu verhindern.
Mehrere Festnahmen wurden über die Jahre mit dem Namen ShinyHunters verknüpft, darunter Verdächtige im Zusammenhang mit den Snowflake-Datendiebstählen, den Einbrüchen bei PowerSchool und dem Betrieb des Hackerforums Breached v2. Trotz dieser Zugriffe bleiben Akteure unter dem Label ShinyHunters eine Bedrohung für Unternehmen weltweit.