MtoM Mag - Le journal de l'MtoM.

Malgré plusieurs démantèlements et arrestations, les acteurs associés à ShinyHunters continuent d’adapter leurs méthodes en exploitant les relations de confiance au sein des environnements SaaS.

Le 20 août 2026 – Cato Networks, réseau convergé et cloud de sécurité pour l’IA, annonce que son équipe de recherche sur les menaces, Cato CTRL, a analysé l’évolution des méthodes de ShinyHunters. Le groupe cybercriminel continue d’opérer malgré plusieurs saisies de forums, arrestations d’administrateurs et la condamnation de son fondateur.

Selon Cato CTRL, les acteurs associés à ShinyHunters exploitent de plus en plus les mécanismes de confiance intégrés aux plateformes SaaS et aux processus de gestion des identités. Plusieurs campagnes récentes ont notamment ciblé des environnements Salesforce et des applications tierces connectées, en s’appuyant sur le vishing auprès des centres de support informatique ou sur des jetons OAuth compromis liés à des intégrations SaaS légitimes. Ces techniques permettent d’accéder aux données sans recourir à des logiciels malveillants ni compromettre directement l’authentification multifacteur.

Cette évolution concerne particulièrement les entreprises qui s’appuient sur des plateformes comme Salesforce, Salesloft Drift, Gainsight ou d’autres services SaaS connectés. Selon Cato CTRL, l’exploitation d’applications OAuth et d’intégrations déjà considérées comme fiables permet aux attaquants d’accéder aux environnements ciblés en utilisant les relations de confiance existantes.

L’analyse met également en évidence la résilience de ShinyHunters. Malgré les opérations visant son infrastructure et ses membres, le nom continue d’être utilisé au sein d’un écosystème cybercriminel plus large. Cato CTRL observe notamment l’émergence de Scattered LAPSUS$ Hunters, qui réunit des acteurs et des méthodes associés à ShinyHunters, Scattered Spider et LAPSUS$.

Face à cette évolution, Cato CTRL recommande aux entreprises de renforcer la surveillance des applications connectées, d’auditer régulièrement les autorisations OAuth accordées aux services tiers et d’intégrer les scénarios de vishing ciblant les centres de support à leurs programmes de sensibilisation.