Threat Intelligence

ShinyHunters

Seit 2020 der bekannteste Datendieb der Szene: ShinyHunters erpresst ohne Verschlüsselung – mit Telefonanrufen bei der IT-Hotline und gestohlenen Cloud-Zugängen.

Kurz erklärt

ShinyHunters ist seit 2020 die bekannteste Marke für große Datendiebstähle – und arbeitet grundsätzlich anders als eine klassische Ransomware-Gruppe: Es wird nichts verschlüsselt. Gestohlen werden Datenbestände, meist komplette Kunden- und CRM-Datenbanken aus Cloud-Plattformen. Anschließend wird das Unternehmen mit der Veröffentlichung erpresst. Bekannt wurde die Gruppe unter anderem durch die Datenabflüsse bei Ticketmaster (über die Datenplattform Snowflake) und beim Bildungsanbieter PowerSchool.

Der typische Einstieg ist kein technischer Exploit, sondern ein Telefonanruf: Angreifer geben sich als IT-Support oder als Mitarbeitende aus und bringen Beschäftigte dazu, eine bösartige App mit dem Firmen-CRM zu verknüpfen oder ein Einmalpasswort herauszugeben. Danach läuft der Datenabzug über völlig legitime Schnittstellen – mit gültigen Zugangsdaten, ohne Schadsoftware auf einem einzigen Rechner.

Seit 2025 tritt ShinyHunters gemeinsam mit Scattered Spider und LAPSUS$ unter dem Namen „Scattered LAPSUS$ Hunters“ auf und baut zusätzlich einen eigenen Ransomware-Dienst namens ShinySp1d3r auf. Trotz mehrerer Festnahmen in Frankreich im August 2025 läuft der Betrieb weiter: 2026 kamen rund 44 neue Opfer in 90 Tagen hinzu, darunter zwei Schweizer Einträge.

Aktiv

Modell

Datenerpressung (Extortion) mit Tor-Leak-Site und öffentlichen Telegram-Kanälen; parallel Aufbau eines Ransomware-as-a-Service-Angebots (ShinySp1d3r), das bislang jedoch nur im Entwicklungsstadium beobachtet wurde

Auch bekannt als

ShinyHunters; Teil des Verbunds „Scattered LAPSUS$ Hunters“ (mit Scattered Spider und LAPSUS$); eigener Ransomware-Dienst ShinySp1d3r; in der Herstellerliteratur teils als UNC6040/UNC6240 geführt

Gegründet

2020 (erste große Datenverkäufe in Untergrundforen); Aufbau des eigenen Ransomware-Dienstes ShinySp1d3r ab 2025

Entstanden aus

Keine Vorgängergruppe im klassischen Sinn. ShinyHunters ist als Foren-Marke für Datenverkäufe entstanden und hat sich zur Erpressergruppe entwickelt. Seit 2025 tritt sie gemeinsam mit Scattered Spider und LAPSUS$ unter dem Dach „Scattered LAPSUS$ Hunters“ auf – mit erkennbarer Arbeitsteilung: Scattered Spider beschafft den Zugang, ShinyHunters stiehlt und veröffentlicht die Daten, LAPSUS$-Mitglieder verstärken den öffentlichen Druck.

Herkunft

Nicht eindeutig zugeordnet – ein lose organisierter, überwiegend englischsprachiger Verbund. Im August 2025 nahmen französische Behörden vier mutmaßliche Mitglieder fest.

Zielsektoren

Einzelhandel und E-Commerce, Reise- und Freizeitwirtschaft, Telekommunikation, Versicherungen, Bildung, Technologie, Gesundheitswesen – durchweg Organisationen mit großen personenbezogenen Datenbeständen.

Zielregionen

Weltweit mit Schwerpunkt Nordamerika und Westeuropa. Für die DACH-Region ist vor allem die Schweiz betroffen: Im August 2026 erschienen dort mit Logitech/Streamlabs und Alcon zwei Einträge auf der Leak-Site.

Typisches Lösegeld

Nicht einheitlich; im Fall Coinbase wurden öffentlich 20 Mio. US-Dollar gefordert. Die Forderungen richten sich nach Umfang und Brisanz des Datenbestands, nicht nach einer festen Staffel.

Opferzahl

Rund 150 gelistete Opfer seit Oktober 2025; 44 in den letzten 90 Tagen und 18 in den letzten 30 Tagen (Stand: 24. August 2026)

File Extensions

keine – die Gruppe verschlüsselt in der Regel nicht (der eigene Verschlüsseler ShinySp1d3r wurde bislang nur im Entwicklungsstadium beobachtet)

Ransom Note

keine klassische Erpressernotiz auf dem System – die Forderung kommt per E-Mail, über ein Verhandlungsportal oder öffentlich über Telegram

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Sitzungen und Token der betroffenen Konten sofort widerrufen und Passwörter zurücksetzen – ein reiner Passwortwechsel reicht nicht, aktive Sitzungen laufen sonst weiter.
  • Alle verknüpften OAuth-Anwendungen und API-Zugänge in CRM, Ticketsystem und Data Warehouse prüfen und unbekannte Verknüpfungen entfernen.
  • Incident Response aktivieren; parallel Geschäftsführung, Datenschutzbeauftragte und Rechtsabteilung einbinden – bei dieser Gruppe ist der Vorfall von Beginn an ein Datenschutz- und Kommunikationsthema.
  • Cloud- und API-Protokolle sichern und den Umfang des Abflusses belegen: welche Objekte, welcher Zeitraum, wie viele Datensätze. Die Beweislage entscheidet über Meldung und Betroffeneninformation.
  • Service-Desk umgehend warnen und die Verfahren für MFA-Zurücksetzung und Geräteneuregistrierung verschärfen – der nächste Anruf kommt erfahrungsgemäß schnell.
  • Meldepflichten prüfen und einhalten: Datenschutzaufsicht binnen 72 Stunden (DSGVO Art. 33), bei NIS2-Betroffenheit Erstmeldung binnen 24 Stunden; Betroffenenbenachrichtigung vorbereiten.
  • Kommunikation vorbereiten, bevor die Gruppe öffentlich wird – sie nutzt Telegram und die Presse gezielt als Druckmittel.
⛔ Unbedingt vermeiden
  • Den Vorfall nicht als reines IT-Problem behandeln – es gibt keinen Systemausfall, aber ein erhebliches Datenschutz-, Haftungs- und Reputationsrisiko.
  • Nicht davon ausgehen, dass ein Passwortwechsel genügt: Ohne Widerruf von Sitzungen, Token und OAuth-Verknüpfungen bleibt der Zugang bestehen.
  • Keine eigenständige Zahlung ohne juristische, forensische und ggf. behördliche Abstimmung – bei reiner Datenerpressung gibt es keine überprüfbare Gegenleistung. Dass die Daten nach Zahlung gelöscht werden, ist allein eine Behauptung der Täter.
  • Nicht selbst über Telegram oder E-Mail mit den Erpressern kommunizieren; Kontakt ausschließlich über spezialisierte Incident-Responder.
  • Cloud-Protokolle nicht auslaufen lassen – kurze Aufbewahrungsfristen sind der häufigste Grund, warum der Umfang eines Abflusses später nicht mehr belegbar ist.
  • Meldefristen nicht abwarten, bis die Echtheit vollständig geklärt ist – sie laufen ab Kenntnis eines möglichen Vorfalls.

Bekannte Angriffe

  • Schweiz – Logitech / Streamlabs (August 2026): am 18. August 2026 auf der Leak-Site gelistet.
  • Schweiz – Alcon (August 2026): der Augenheilkunde-Konzern erschien am 2. August 2026.
  • Ticketmaster (2024, über Snowflake): einer der größten Kundendatenabflüsse der letzten Jahre – Ausgangspunkt war nicht Ticketmaster selbst, sondern der Zugang zu einer Cloud-Datenplattform.
  • PowerSchool (Bildungssoftware): Abfluss von Schüler- und Lehrerdaten in großem Umfang.
  • 2026 (Auswahl): Instructure/Canvas, Carnival, ADT, Charter, Kemper, McGraw-Hill, Rockstar Games und Telus wurden öffentlich genannt. Bei Coinbase veröffentlichte die Gruppe Screenshots interner Support-Werkzeuge und forderte öffentlich 20 Mio. US-Dollar.
  • Alle Nennungen beruhen auf Eigenangaben der Gruppe beziehungsweise öffentlicher Berichterstattung und sind nicht in jedem Einzelfall unabhängig bestätigt.

Angriffstechniken (TTPs)

  • Initialer Zugang:
    • Telefonisches Social Engineering gegen Service-Desk und Beschäftigte (Vishing) – T1566.004 (Spearphishing Voice)
    • Abfangen von Einmalpasswörtern und MFA-Ermüdung – T1621 (MFA Request Generation)
    • Nutzung gültiger, erschlichener Zugangsdaten – T1078 (Valid Accounts)
  • Persistenz in der Cloud:
    • Verknüpfen bösartiger oder manipulierter OAuth-Anwendungen mit SaaS-Plattformen – T1550 (Use Alternate Authentication Material)
    • Anlegen zusätzlicher API-Zugänge und Token
  • Sammlung:
    • Massenabfrage von CRM-, Ticket- und Data-Warehouse-Beständen über legitime Schnittstellen – T1213 (Data from Information Repositories)
  • Exfiltration:
    • Datenabfluss über die regulären Cloud-APIs, dadurch schwer von normalem Betrieb zu unterscheiden – T1567 (Exfiltration Over Web Service)
  • Erpressung:
    • Veröffentlichungsdrohung über Tor-Leak-Site, öffentliche Telegram-Kanäle und direkte Presseansprache – T1657 (Financial Theft)
    • Kein Einsatz von Verschlüsselung; der Druck entsteht allein über Veröffentlichung und Reputationsschaden

Technologie & Malware

Der wichtigste Punkt zuerst: ShinyHunters braucht in der Regel gar keine Schadsoftware. Der Zugang wird erschlichen, der Datenabzug läuft über die offiziellen Schnittstellen der jeweiligen Cloud-Plattform. Es gibt keine Datei-Endung, keine Erpressernotiz auf dem Server und keinen Virenscanner-Treffer – genau das macht die Erkennung schwer.

ShinySp1d3r: Seit 2025 entwickelt die Gruppe einen eigenen Verschlüsseler und vermarktet ihn als Ransomware-as-a-Service. Bemerkenswert daran: Er wird von Grund auf neu geschrieben und nicht – wie bei den meisten neuen Gruppen – aus dem geleakten LockBit- oder Babuk-Bausatz zusammengesetzt. Nach Analysen von Unit 42 lagen bis Juni 2026 allerdings nur Entwicklungsversionen mit einer Platzhalter-Onion-Adresse vor; ein bestätigter Einsatz bei einem Opfer ist bislang nicht dokumentiert.

Infrastruktur: Tor-Leak-Site, mehrere Ausweichadressen sowie öffentliche Telegram-Kanäle unter dem Namen „Scattered LAPSUS$ Hunters“, über die Druck aufgebaut und mit Journalisten kommuniziert wird. Das früher genutzte Forum breachforums.hn wurde von Behörden beschlagnahmt.

Indicators of Compromise (IOCs)

  • Leak-Site (Tor): shnyhntww34phqoa6dcgnvps2yu7dlwzmy5lkvejwjdo6z7bmgshzayd.onion
  • Früher genutzte Plattform: breachforums.hn – inzwischen behördlich beschlagnahmt
  • Keine Datei-Endung, keine Erpressernotiz – die Erkennung muss über Cloud- und Identitätstelemetrie laufen, nicht über den Endpunkt
  • Verhaltensindikator 1: neu verknüpfte OAuth-Anwendungen oder API-Clients in CRM-, Ticket- und Data-Warehouse-Plattformen
  • Verhaltensindikator 2: ungewöhnlich große Exporte oder Massenabfragen aus dem CRM, oft außerhalb der Geschäftszeiten
  • Verhaltensindikator 3: Anrufe beim Service-Desk mit Bitte um MFA-Zurücksetzung oder Geräteneuregistrierung – gehäuft und von wechselnden Nummern
  • Verhaltensindikator 4: Anmeldungen aus untypischen Regionen oder über Wohn-Proxy-Dienste unmittelbar nach einem Helpdesk-Kontakt

Was Unternehmen jetzt prüfen sollten

  • Hat Ihr Service-Desk ein verbindliches Verfahren zur Identitätsprüfung, bevor MFA zurückgesetzt oder ein neues Gerät registriert wird – und ist es gegen Zeitdruck am Telefon immun?
  • Setzen Sie phishing-resistente MFA (FIDO2/Passkeys) ein, statt auf Einmalcodes und Push-Bestätigungen zu vertrauen?
  • Wissen Sie, welche OAuth-Anwendungen mit Ihren SaaS-Plattformen verknüpft sind – und darf jede Person diese Verknüpfung selbst herstellen, oder braucht es eine Freigabe?
  • Gibt es Grenzwerte und Alarme für Massenexporte aus CRM, Ticketsystem und Data Warehouse?
  • Wie lange bewahren Sie Cloud- und API-Protokolle auf? Weniger als sechs Monate reichen erfahrungsgemäß nicht, um den Umfang eines Abflusses zu belegen.
  • Ist ein Kommunikations- und Meldeplan für einen reinen Datenabfluss ohne Systemausfall vorbereitet – inklusive Betroffeneninformation?
  • Werden Ihre Dienstleister und deren Zugänge zu Ihren Kundendaten regelmäßig überprüft? Der Einstieg erfolgt bei dieser Gruppe häufig über Dritte.

Wie Argos unterstützt

Gegen ShinyHunters hilft kein Virenscanner – dieser Angriff hinterlässt auf dem Endgerät schlicht keine Spur. Das Cyber Defense Center von Argos Security überwacht deshalb genau die Ebenen, auf denen dieser Akteur arbeitet: Identitäten und Cloud-Plattformen. Wir erkennen ungewöhnliche Anmeldemuster nach Helpdesk-Kontakten, neu verknüpfte OAuth-Anwendungen und Massenabfragen aus CRM- und Data-Warehouse-Systemen – rund um die Uhr (24/7).

Vorbeugend härten wir die Stelle, die bei diesem Akteur regelmäßig als Erstes fällt: den Service-Desk. Dazu gehören belastbare Identitätsprüfungen vor MFA-Zurücksetzungen, phishing-resistente Anmeldeverfahren und gezielte Übungen mit realistischen Vishing-Anrufen. Im Ernstfall übernimmt unser Incident-Response-Team die Eindämmung, weist den Umfang des Datenabflusses belastbar nach und begleitet Sie durch Meldepflichten, Betroffeneninformation und Krisenkommunikation – dorthin, wo bei dieser Gruppe der eigentliche Schaden entsteht.