ShinyHunters ist seit 2020 die bekannteste Marke für große Datendiebstähle – und arbeitet grundsätzlich anders als eine klassische Ransomware-Gruppe: Es wird nichts verschlüsselt. Gestohlen werden Datenbestände, meist komplette Kunden- und CRM-Datenbanken aus Cloud-Plattformen. Anschließend wird das Unternehmen mit der Veröffentlichung erpresst. Bekannt wurde die Gruppe unter anderem durch die Datenabflüsse bei Ticketmaster (über die Datenplattform Snowflake) und beim Bildungsanbieter PowerSchool.
Der typische Einstieg ist kein technischer Exploit, sondern ein Telefonanruf: Angreifer geben sich als IT-Support oder als Mitarbeitende aus und bringen Beschäftigte dazu, eine bösartige App mit dem Firmen-CRM zu verknüpfen oder ein Einmalpasswort herauszugeben. Danach läuft der Datenabzug über völlig legitime Schnittstellen – mit gültigen Zugangsdaten, ohne Schadsoftware auf einem einzigen Rechner.
Seit 2025 tritt ShinyHunters gemeinsam mit Scattered Spider und LAPSUS$ unter dem Namen „Scattered LAPSUS$ Hunters“ auf und baut zusätzlich einen eigenen Ransomware-Dienst namens ShinySp1d3r auf. Trotz mehrerer Festnahmen in Frankreich im August 2025 läuft der Betrieb weiter: 2026 kamen rund 44 neue Opfer in 90 Tagen hinzu, darunter zwei Schweizer Einträge.
Aktiv
Datenerpressung (Extortion) mit Tor-Leak-Site und öffentlichen Telegram-Kanälen; parallel Aufbau eines Ransomware-as-a-Service-Angebots (ShinySp1d3r), das bislang jedoch nur im Entwicklungsstadium beobachtet wurde
ShinyHunters; Teil des Verbunds „Scattered LAPSUS$ Hunters“ (mit Scattered Spider und LAPSUS$); eigener Ransomware-Dienst ShinySp1d3r; in der Herstellerliteratur teils als UNC6040/UNC6240 geführt
2020 (erste große Datenverkäufe in Untergrundforen); Aufbau des eigenen Ransomware-Dienstes ShinySp1d3r ab 2025
Keine Vorgängergruppe im klassischen Sinn. ShinyHunters ist als Foren-Marke für Datenverkäufe entstanden und hat sich zur Erpressergruppe entwickelt. Seit 2025 tritt sie gemeinsam mit Scattered Spider und LAPSUS$ unter dem Dach „Scattered LAPSUS$ Hunters“ auf – mit erkennbarer Arbeitsteilung: Scattered Spider beschafft den Zugang, ShinyHunters stiehlt und veröffentlicht die Daten, LAPSUS$-Mitglieder verstärken den öffentlichen Druck.
Nicht eindeutig zugeordnet – ein lose organisierter, überwiegend englischsprachiger Verbund. Im August 2025 nahmen französische Behörden vier mutmaßliche Mitglieder fest.
Einzelhandel und E-Commerce, Reise- und Freizeitwirtschaft, Telekommunikation, Versicherungen, Bildung, Technologie, Gesundheitswesen – durchweg Organisationen mit großen personenbezogenen Datenbeständen.
Weltweit mit Schwerpunkt Nordamerika und Westeuropa. Für die DACH-Region ist vor allem die Schweiz betroffen: Im August 2026 erschienen dort mit Logitech/Streamlabs und Alcon zwei Einträge auf der Leak-Site.
Nicht einheitlich; im Fall Coinbase wurden öffentlich 20 Mio. US-Dollar gefordert. Die Forderungen richten sich nach Umfang und Brisanz des Datenbestands, nicht nach einer festen Staffel.
Rund 150 gelistete Opfer seit Oktober 2025; 44 in den letzten 90 Tagen und 18 in den letzten 30 Tagen (Stand: 24. August 2026)
keine – die Gruppe verschlüsselt in der Regel nicht (der eigene Verschlüsseler ShinySp1d3r wurde bislang nur im Entwicklungsstadium beobachtet)
keine klassische Erpressernotiz auf dem System – die Forderung kommt per E-Mail, über ein Verhandlungsportal oder öffentlich über Telegram
Der wichtigste Punkt zuerst: ShinyHunters braucht in der Regel gar keine Schadsoftware. Der Zugang wird erschlichen, der Datenabzug läuft über die offiziellen Schnittstellen der jeweiligen Cloud-Plattform. Es gibt keine Datei-Endung, keine Erpressernotiz auf dem Server und keinen Virenscanner-Treffer – genau das macht die Erkennung schwer.
ShinySp1d3r: Seit 2025 entwickelt die Gruppe einen eigenen Verschlüsseler und vermarktet ihn als Ransomware-as-a-Service. Bemerkenswert daran: Er wird von Grund auf neu geschrieben und nicht – wie bei den meisten neuen Gruppen – aus dem geleakten LockBit- oder Babuk-Bausatz zusammengesetzt. Nach Analysen von Unit 42 lagen bis Juni 2026 allerdings nur Entwicklungsversionen mit einer Platzhalter-Onion-Adresse vor; ein bestätigter Einsatz bei einem Opfer ist bislang nicht dokumentiert.
Infrastruktur: Tor-Leak-Site, mehrere Ausweichadressen sowie öffentliche Telegram-Kanäle unter dem Namen „Scattered LAPSUS$ Hunters“, über die Druck aufgebaut und mit Journalisten kommuniziert wird. Das früher genutzte Forum breachforums.hn wurde von Behörden beschlagnahmt.
Gegen ShinyHunters hilft kein Virenscanner – dieser Angriff hinterlässt auf dem Endgerät schlicht keine Spur. Das Cyber Defense Center von Argos Security überwacht deshalb genau die Ebenen, auf denen dieser Akteur arbeitet: Identitäten und Cloud-Plattformen. Wir erkennen ungewöhnliche Anmeldemuster nach Helpdesk-Kontakten, neu verknüpfte OAuth-Anwendungen und Massenabfragen aus CRM- und Data-Warehouse-Systemen – rund um die Uhr (24/7).
Vorbeugend härten wir die Stelle, die bei diesem Akteur regelmäßig als Erstes fällt: den Service-Desk. Dazu gehören belastbare Identitätsprüfungen vor MFA-Zurücksetzungen, phishing-resistente Anmeldeverfahren und gezielte Übungen mit realistischen Vishing-Anrufen. Im Ernstfall übernimmt unser Incident-Response-Team die Eindämmung, weist den Umfang des Datenabflusses belastbar nach und begleitet Sie durch Meldepflichten, Betroffeneninformation und Krisenkommunikation – dorthin, wo bei dieser Gruppe der eigentliche Schaden entsteht.