ShinyHunters attaque ReliaQuest via ingénierie sociale

ShinyHunters prétend avoir percé les défenses d'un acteur majeur de la cybersécurité

Le 23 août 2026, le groupe cybercriminel ShinyHunters a publié sur son site de fuite une revendication d'attaque visant ReliaQuest, l'une des principales plateformes de cybersécurité managée aux États-Unis, connue pour son produit GreyMatter de détection et réponse aux incidents. La publication s'accompagnait de captures d'écran montrant un accès au tableau de bord Okta de l'entreprise, présentées comme preuve d'une intrusion réussie. L'annonce a immédiatement suscité un fort intérêt dans la communauté sécurité, tant le symbolisme d'une compromission d'un spécialiste de la cyberdéfense est fort et potentiellement dévastateur pour la confiance des clients.

ReliaQuest a réagi rapidement, publiant une analyse détaillée de l'incident dès le 24 août. Selon la société basée à Tampa, en Floride, l'attaque s'est déroulée le 22 août 2026 et a suivi un scénario d'ingénierie sociale classique mais efficace. Des attaquants, se faisant passer pour des membres de l'équipe sécurité interne de ReliaQuest, ont contacté téléphoniquement plusieurs employés. L'objectif était de les convaincre de se connecter à une fausse page de connexion SSO (Single Sign-On) hébergée derrière un réseau de diffusion de contenu (CDN), une technique visant à masquer l'infrastructure malveillante derrière une adresse IP apparemment légitime.

Un employé a mordu à l'hameçon : il a saisi ses identifiants sur la fausse page et approuvé une notification MFA (authentification multifacteur) légitime, offrant ainsi à l'attaquant un accès temporaire à sa session d'identité. ReliaQuest précise que l'attaquant n'a disposé que d'un accès en lecture seule à un tableau de bord d'identité, sans avoir pu atteindre aucune application métier, aucun système interne, ni aucune donnée client. L'accès a été révoqué dans des délais très courts après détection automatique par les systèmes de surveillance de l'entreprise.

ShinyHunters a nuancé ses propres revendications lors d'échanges avec BleepingComputer, reconnaissant explicitement qu'aucune identité supplémentaire n'avait été accédée, qu'aucune application métier n'avait été atteinte, qu'aucune donnée client ou ReliaQuest n'avait été accédée au-delà des identifiants de connexion de l'utilisateur, et qu'aucune persistance n'avait été établie dans les systèmes. Cette déclaration, pour le moins inhabituelle de la part d'un groupe cybercriminel, correspond exactement à la version présentée par ReliaQuest, suggérant que les deux parties s'accordent sur les faits même si les interprétations divergent quant à leur portée symbolique.

SOCRadar, société d'intelligence sur les menaces qui a analysé la revendication indépendamment, confirme n'avoir trouvé aucun échantillon de données validé, aucune demande de rançon, ni aucune preuve d'impact sur les clients de ReliaQuest. L'analyse de The Register, publiée le 24 août, conclut que les captures d'écran Okta diffusées par ShinyHunters sont authentiques mais ne démontrent qu'un accès très limité, cohérent avec une session d'identité employé de courte durée sans droits d'administration ou d'accès aux données sensibles.

Cette attaque s'inscrit dans une tendance plus large observée depuis 2024 : le ciblage délibéré des entreprises de cybersécurité elles-mêmes, à la fois pour l'accès potentiel aux données de leurs clients et pour la valeur symbolique d'une telle compromission en termes de réputation et de pression. Des incidents similaires ont touché Mandiant en 2023, ainsi que plusieurs autres MSSP (Managed Security Service Providers) et fournisseurs de SOC au cours des deux dernières années. ShinyHunters est un groupe actif depuis 2020, responsable de nombreuses fuites de données massives incluant Ticketmaster, Santander Bank et AT&T en 2024.

ReliaQuest a communiqué de façon exemplaire sur l'incident, publiant un post-mortem détaillé en moins de 48 heures, un niveau de transparence rare dans le secteur qui contraste avec les pratiques de nombreuses organisations qui minimisent ou retardent la divulgation d'incidents similaires. L'entreprise a également profité de l'occasion pour rappeler les bonnes pratiques contre l'ingénierie sociale et annoncer le renforcement de ses procédures de vérification d'identité pour tout appel entrant prétendant provenir d'équipes internes.

Du côté des recommandations opérationnelles, ReliaQuest a indiqué étudier le déploiement de solutions d'authentification résistantes au phishing de type passkeys ou FIDO2 pour les accès critiques. Ces méthodes d'authentification, contrairement aux codes OTP et aux push MFA classiques, ne peuvent pas être interceptées par une attaque de type adversary-in-the-middle ou être approuvées par inadvertance suite à une manipulation psychologique, ce qui les rend particulièrement efficaces contre les attaques d'ingénierie sociale de ce type.

Quand les défenseurs deviennent des cibles : les leçons d'un incident maîtrisé

L'attaque contre ReliaQuest illustre une réalité souvent sous-estimée même dans les milieux avertis : aucune organisation n'est immunisée contre le facteur humain, pas même celles dont le coeur de métier est la cybersécurité. L'ingénierie sociale, et plus spécifiquement le vishing (phishing par appel vocal), exploite des mécanismes psychologiques fondamentaux — l'autorité, l'urgence, la pression sociale — qui ne sont pas neutralisés par la formation technique des équipes. La sophistication d'un attaquant qui se fait passer pour un collègue de la sécurité interne, en utilisant des informations préalablement collectées via des sources ouvertes (OSINT), peut tromper même des professionnels aguerris dans un contexte d'urgence simulée.

La rapidité de détection et de réponse de ReliaQuest mérite d'être soulignée comme un exemple de bonnes pratiques. Le fait que l'accès de l'attaquant ait été limité à une session de lecture seule, sans persistance ni mouvement latéral, témoigne de contrôles d'accès bien conçus suivant le principe du moindre privilège. Un employé de niveau standard ne devrait pas avoir accès, même temporairement, à des ressources permettant de compromettre l'ensemble de l'organisation. La segmentation des droits a ici joué le rôle de filet de sécurité essentiel qui a contenu l'incident à son impact minimal.

Pour les équipes sécurité, cet incident rappelle l'importance de protocoles de vérification d'identité robustes pour les demandes d'accès ou de réinitialisation reçues par téléphone. Des procédures comme le rappel sur un numéro officiel répertorié, l'utilisation d'un mot de code interne ou la double validation par un manager peuvent considérablement réduire le risque d'ingénierie sociale téléphonique. Ces mesures peuvent paraître contraignantes dans un contexte de travail quotidien, mais elles constituent une barrière efficace contre une attaque dont le coût de mise en oeuvre pour l'attaquant est quasi nul.

Enfin, la gestion de communication de ReliaQuest constitue un modèle à suivre pour l'ensemble du secteur. En publiant rapidement un post-mortem détaillé, l'entreprise a pris le contrôle du récit, démontré sa confiance dans ses propres contrôles et fourni des informations utiles à l'ensemble de la communauté de sécurité. Cette transparence tranche avec la stratégie de minimisation adoptée par de nombreuses victimes d'incidents similaires, et contribue à renforcer la confiance des clients et partenaires dans une période où la réputation des MSSP est directement corrélée à leur capacité à gérer l'adversité avec intégrité.

Ce qu'il faut retenir

• ShinyHunters a utilisé le vishing (faux appel interne + fausse page SSO) pour obtenir temporairement l'accès à une session employé de ReliaQuest ; aucune donnée client ni système métier n'a été compromis.
• La segmentation des droits et le principe du moindre privilège ont limité l'impact à une session de lecture seule sans possibilité de persistance ou de mouvement latéral dans l'infrastructure.
• Toute demande urgente reçue par téléphone d'un prétendu collègue sécurité doit être vérifiée via un canal indépendant ; déployer des passkeys ou FIDO2 pour les accès critiques élimine le risque d'approbation MFA involontaire.