« En revendiquant une compromission du FBI, ShinyHunters franchit un cap particulièrement provocateur dans le bras de fer qui oppose les forces de l’ordre aux groupes cybercriminels, et cette revendication doit être prise très au sérieux. Nous avons vu d’innombrables fois des acteurs malveillants cibler des entreprises, et des États ou des groupes liés à des États ont déjà compromis des organisations chargées de l’application de la loi, la cyberattaque contre l’OPM en 2015 reste l’exemple le plus marquant, mais voir un groupe cybercriminel revendiquer publiquement une compromission du FBI est d’une autre nature.
Un petit indice opérationnel mérite d’être relevé : la publication du groupe est horodatée au 23 septembre, alors que l’information est apparue le 22 septembre aux États-Unis. Si cet horodatage correspond réellement à l’environnement dans lequel opère le groupe, cela pourrait indiquer une activité située en Asie. Cela ne permet pas d’établir une attribution définitive, mais il s’agit d’un élément que les enquêteurs examineront aux côtés des preuves techniques.
ShinyHunters a démontré à plusieurs reprises qu’il ne se résume pas à un groupe fixe d’individus ou à une infrastructure donnée. Il s’agit d’une marque criminelle résiliente, qui a survécu aux opérations de démantèlement, aux arrestations et aux saisies de forums en faisant évoluer ses méthodes et en attirant de nouveaux opérateurs. Récemment, son mode opératoire a surtout consisté à exploiter des mécanismes de confiance liés aux identités, notamment par le biais de techniques d’ingénierie sociale visant les services d’assistance, d’applications OAuth malveillantes et de jetons d’intégration SaaS volés, plutôt qu’à simplement franchir un périmètre technique. C’est là l’enseignement le plus important. Les organisations, y compris les administrations publiques, doivent protéger les identités et les relations de confiance avec des tiers que les attaquants cherchent de plus en plus à exploiter. »
