ShinyHunters và ReliaQuest đấu khẩu quanh vụ vi phạm được tuyên bố

ShinyHunters vừa tuyên bố có thêm một “chiến lợi phẩm” an ninh mạng, nhưng công ty ReliaQuest cho rằng nhóm tội phạm này chỉ dừng lại ở việc chiếm quyền truy cập danh tính một nhân viên trước khi bị hệ thống phòng thủ chặn đứng. Sự việc đang tạo nên cuộc đấu khẩu công khai thú vị giữa hai bên, với dữ liệu khách hàng được xác nhận là không bị xâm phạm.

Tuyên bố từ ShinyHunters

Theo trang rò rỉ của nhóm ransomware ShinyHunters, họ đã liệt kê công ty an ninh mạng có trụ sở tại Mỹ - ReliaQuest - vào ngày 23 tháng 8, khẳng định tổ chức này là nạn nhân mới nhất của họ.

• Danh sách này đi kèm các ảnh chụp màn hình mà nhóm tội phạm tuyên bố cho thấy quyền truy cập vào bảng điều khiển Okta của ReliaQuest.
• Tuy nhiên, nhóm này không công bố bất kỳ dữ liệu khách hàng bị đánh cắp nào.
• Công ty giám sát an ninh SOCRadar cho biết họ không tìm thấy mẫu dữ liệu đã xác minh, yêu cầu tiền chuộc hay bằng chứng về tác động đến khách hàng.

“Lần này bài đăng là về bạn, không phải chúng tôi. Hãy để Mandiant báo cáo và tư vấn về chúng tôi một cách chính xác, hãy biến đi,” - một bài đăng trên trang rò rỉ của nhóm này cho biết.

Phản hồi chính thức từ ReliaQuest

ReliaQuest đã phản hồi lại tuyên bố của nhóm tội phạm mạng, xác nhận có một cuộc tấn công vào ngày 22 tháng 8, nhưng bác bỏ việc ShinyHunters đã xâm nhập hệ thống của họ.

Một người phát ngôn của ReliaQuest nói với The Register:

“Vào ngày 22 tháng 8 năm 2026, ReliaQuest là mục tiêu của một cuộc tấn công kỹ thuật xã hội. Vụ việc không thành công ngoài việc tạm thời lộ diện một danh tính. Mức độ truy cập chỉ là xem. Không có ứng dụng hoặc hệ thống nào của ReliaQuest bị truy cập và không có dữ liệu khách hàng nào từng bị chạm tới.”

Công ty tuyên bố sẽ không đưa ra bình luận nào thêm ngoài tuyên bố trên và một bản tường trình kỹ thuật về vụ việc được công bố trên trang web của họ.

Diễn biến chi tiết của cuộc tấn công

Theo bản tường trình kỹ thuật từ ReliaQuest, các mô tả về cách thức tấn công đã cho thấy một chiến dịch kỹ thuật xã hội tinh vi:

• Kẻ tấn công đã dựng một trang đăng nhập một cửa (single sign-on) giả mạo ReliaQuest.
• Chúng gọi điện cho nhiều nhân viên khác nhau, giả danh thành viên của đội ngũ an ninh của công ty.
• Một nhân viên đã nhập mật khẩu và phê duyệt yêu cầu xác thực đa yếu tố (MFA).
• Điều này vô tình trao cho kẻ tấn công quyền truy cập tạm thời vào phiên danh tính (identity session) của người nhân viên đó.

ReliaQuest cho biết mức độ truy cập chỉ dừng lại ở đó. Hệ thống kiểm soát độ tin cậy của thiết bị (device-trust controls) đã ngăn kẻ tấn công sử dụng phiên đó để truy cập vào các ứng dụng hoặc hệ thống của công ty. Đội ngũ an ninh đã nhanh chóng:

• Chấm dứt phiên đăng nhập.
• Thu hồi mật khẩu của nhân viên đó.
• Đặt lại các yếu tố xác thực của họ.

Sự thật nằm ở đâu?

Về cốt lõi, hai bên không thực sự tranh cãi về việc liệu ShinyHunters có “chân trong cửa” hay không. ReliaQuest thừa nhận rằng một nhân viên đã bị lừa thành công và một phiên danh tính đã bị lộ trong thời gian ngắn.

Cuộc chiến thực sự xoay quanh câu hỏi điều gì xảy ra tiếp theo: ShinyHunters giới thiệu ReliaQuest như một nạn nhân mới nhất của chúng, trong khi phía ReliaQuest khẳng định các lớp kiểm soát của họ đã ngăn kẻ tấn công biến chỗ đứng ban đầu đó thành quyền truy cập vào bất cứ thứ gì quan trọng.

Sự việc này là một minh chứng kinh điển cho thấy tầm quan trọng của chiến lược phòng thủ theo chiều sâu (defense-in-depth) trong an ninh mạng hiện đại, khi không một lớp bảo mật đơn lẻ nào có thể cứu vãn tình thế, và việc chuẩn bị cho các tình huống xác thực bị xâm phạm là điều kiện tiên quyết để giảm thiểu thiệt hại.