{"id":17975,"date":"2026-07-16T11:59:55","date_gmt":"2026-07-16T09:59:55","guid":{"rendered":"https:\/\/citalid.com\/?p=17975"},"modified":"2026-09-30T12:03:01","modified_gmt":"2026-09-30T10:03:01","slug":"la-franchise-shinyhunters-comment-une-marque-cybercriminelle-a-appris-a-se-demultiplier","status":"publish","type":"post","link":"https:\/\/citalid.com\/fr\/resources\/la-franchise-shinyhunters-comment-une-marque-cybercriminelle-a-appris-a-se-demultiplier\/","title":{"rendered":"La franchise ShinyHunters : comment une marque cybercriminelle a appris \u00e0 se d\u00e9multiplier"},"content":{"rendered":"Depuis un an, ShinyHunters revendique des victimes dans quasiment tous les secteurs, des clients de Salesforce et d’Oracle jusqu’au Conseil de l’Europe. Mais demandez \u00e0 trois analystes CTI de d\u00e9finir ce qu’est r\u00e9ellement ShinyHunters aujourd’hui, et vous obtiendrez sans doute trois r\u00e9ponses diff\u00e9rentes. Cette confusion n’est pas un accident. C’est pr\u00e9cis\u00e9ment l’objectif.\r\n\r\nLors du troisi\u00e8me \u00e9pisode de Threat Signal, Lorena Michoud, analyste CTI strat\u00e9gique chez Citalid, est revenue sur la mani\u00e8re dont ShinyHunters est pass\u00e9 d’un mode op\u00e9ratoire d’attaque (MOA) classique, \u00e0 motivation financi\u00e8re, \u00e0 un nom que revendiquent, contestent ou usurpent aujourd’hui plusieurs acteurs distincts. Pour les risk managers et les RSSI qui cherchent \u00e0 \u00e9valuer leur exposition<\/a> \u00e0 cet acteur, comprendre cette fragmentation compte autant que comprendre les attaques elles-m\u00eames.\r\n

Un nom qui d\u00e9passe les intrusions<\/h2>\r\nShinyHunters est actif depuis 2019. Citalid le suit comme un collectif criminel de type affili\u00e9, \u00e0 motivation financi\u00e8re, dot\u00e9 d’une organisation structur\u00e9e et de capacit\u00e9s op\u00e9rationnelles r\u00e9elles. Sa sp\u00e9cialit\u00e9 principale reste l’ing\u00e9nierie sociale, en particulier le vishing (hame\u00e7onnage vocal), associ\u00e9e \u00e0 une logique d’extorsion simple : exfiltrer des donn\u00e9es sensibles, puis faire pression sur la victime pour qu’elle paie afin d’\u00e9viter leur divulgation, avec parfois une escalade via des attaques DDoS, du d\u00e9facement ou du harc\u00e8lement d’employ\u00e9s.\r\n\r\n

D\u00e9couvrez comment Citalid cartographie et suit les acteurs qui ciblent votre secteur<\/p>EXPLORER LA CARTOGRAPHIE DES MENACES<\/a><\/div><\/section>\r\n\r\nMais le nom p\u00e8se au-del\u00e0 des seules intrusions. Les individus derri\u00e8re ShinyHunters ont aussi administr\u00e9 BreachForums, l’un des plus grands march\u00e9s de la cybercriminalit\u00e9, qui rassemblait environ 300 000 comptes utilisateurs entre 2023 et son d\u00e9mant\u00e8lement en 2025.\r\n\r\n\u00ab\u00a0C’est devenu une marque, et c’est aujourd’hui un centre n\u00e9vralgique de l’\u00e9cosyst\u00e8me cybercriminel, qui gravite autour de certains forums et communaut\u00e9s, ce qui en fait un acteur de la menace tr\u00e8s complexe \u00e0 cartographier clairement.\u00a0\u00bb, explique Lorena Michoud. Administrer BreachForums est un r\u00f4le distinct des campagnes propres du mode op\u00e9ratoire, mais cela explique en grande partie la notori\u00e9t\u00e9 atteinte par le nom.\r\n

D’un coup de t\u00e9l\u00e9phone \u00e0 un site de divulgation de donn\u00e9es<\/h2>\r\nCette d\u00e9pendance \u00e0 l’ing\u00e9nierie sociale n’est pas un simple d\u00e9tail, c’est le m\u00e9canisme derri\u00e8re la majorit\u00e9 des acc\u00e8s de ShinyHunters. La marque de fabrique du groupe consiste \u00e0 manipuler des personnes : ses op\u00e9rateurs se font passer pour le support informatique d’un \u00e9diteur SaaS au t\u00e9l\u00e9phone, en inventant un probl\u00e8me technique \u00e0 r\u00e9soudre dans l’urgence. L’objectif est toujours le m\u00eame ; obtenir des ressources d’authentification, et ShinyHunters y parvient par deux voies principales.\r\n\r\nLa premi\u00e8re repose sur de faux connecteurs, des versions leurres d’outils l\u00e9gitimes comme le Data Loader de Salesforce, que les op\u00e9rateurs convainquent leur cible de connecter. Cette action d\u00e9clenche une autorisation OAuth que la victime croit anodine, mais qui livre en r\u00e9alit\u00e9 un jeton d’authentification. La seconde voie passe par des sites d’hame\u00e7onnage construits autour de pages de connexion tr\u00e8s convaincantes, comme lors de la compromission d’Okta en janvier, o\u00f9 le site \u00e9tait suffisamment sophistiqu\u00e9 pour g\u00e9n\u00e9rer en temps r\u00e9el, directement dans le navigateur de la victime, des notifications correspondant aux d\u00e9fis d’authentification multifacteur (MFA).\r\n\r\nUne fois en possession d’identifiants ou de jetons vol\u00e9s, ShinyHunters s’en sert pour se connecter \u00e0 des connecteurs tiers<\/a> ou des extensions logicielles, qui donnent acc\u00e8s \u00e0 d’autres solutions SaaS via des m\u00e9canismes de single sign-on (SSO). C’est \u00e0 ce stade que les donn\u00e9es sont consult\u00e9es et exfiltr\u00e9es, avant d’\u00eatre revendiqu\u00e9es sur le site de divulgation de donn\u00e9es du MOA. En parall\u00e8le de cette voie d’ing\u00e9nierie sociale, ShinyHunters a aussi \u00e9t\u00e9 observ\u00e9 en train d’exploiter directement des vuln\u00e9rabilit\u00e9s techniques, notamment r\u00e9cemment dans Oracle PeopleSoft, ce qui lui procure un acc\u00e8s direct au syst\u00e8me avant de se d\u00e9placer lat\u00e9ralement dans le r\u00e9seau pour exfiltrer des donn\u00e9es.\r\n\r\nCette capacit\u00e9 \u00e0 basculer avec fluidit\u00e9 entre la manipulation d’un employ\u00e9 du support et l’exploitation d’une faille logicielle, selon ce qui fonctionne le mieux contre une cible donn\u00e9e, explique en partie comment ShinyHunters a pu revendiquer plus de 90 victimes<\/strong> depuis janvier 2026.\r\n

D’une alliance \u00e0 une dissolution, puis \u00e0 une usurpation<\/h2>\r\nL’illustration la plus nette de la complexit\u00e9 de son \u00e9cosyst\u00e8me s’est jou\u00e9e au cours de l’ann\u00e9e \u00e9coul\u00e9e. ShinyHunters op\u00e8re au sein d’une communaut\u00e9 criminelle connue sous le nom de The Com, active sur Telegram et largement compos\u00e9e d’adolescents anglophones et francophones \u00e0 motivation financi\u00e8re. Au sein de cette communaut\u00e9, les op\u00e9rateurs de ShinyHunters \u00e9changent avec des personnes derri\u00e8re d’autres MOA connus, dont Scattered Spider.\r\n\r\nEn ao\u00fbt 2025, les deux ont proclam\u00e9 une alliance sous le nom de Scattered Lapsus$ Hunters, ou SLH, et revendiqu\u00e9 une campagne contre une quarantaine de clients de Salesforce, avec parmi les victimes cit\u00e9es Toyota, Disney, Kering, Adidas et IKEA. Un mois plus tard, l’alliance annon\u00e7ait sa propre dissolution. La suite a \u00e9t\u00e9 plus r\u00e9v\u00e9latrice que l’annonce elle-m\u00eame : ShinyHunters a continu\u00e9 \u00e0 op\u00e9rer seul sous la banni\u00e8re SLH, sur un nouveau site de divulgation de donn\u00e9es, avant que cette banni\u00e8re ne disparaisse \u00e0 son tour, et le groupe s’est totalement d\u00e9sengag\u00e9 de BreachForums et des ses autres r\u00e9seaux, communiquant d\u00e9sormais exclusivement via son propre site de divulgation de donn\u00e9es.\r\n\r\nCe vide a laiss\u00e9 la place \u00e0 d’autres acteurs. Citalid suit un collectif distinct se faisant appeler Scattered Lapsus$ Shiny Hunters, ou SLSH, un nom suffisamment proche de l’original pour cr\u00e9er la confusion, animant plusieurs canaux Telegram avec une communication bruyante et offensive.\r\n
Utiliser des noms diff\u00e9rents, rejoindre des alliances r\u00e9elles ou invent\u00e9es, cr\u00e9er des marques, tout cela est tr\u00e8s b\u00e9n\u00e9fique pour ce type d’attaquant, car cela brouille l’attribution et g\u00e9n\u00e8re de l’int\u00e9r\u00eat.<\/blockquote>\r\nsouligne Lorena Michoud. Le d\u00e9mant\u00e8lement de BreachForums a lui-m\u00eame d\u00e9clench\u00e9 une nouvelle vague de fragmentation. Sa disparition en octobre 2025 a provoqu\u00e9 une guerre interne pour savoir qui h\u00e9riterait de son r\u00f4le, aboutissant notamment \u00e0 deux nouveaux forums, PwnForums et Breached, anim\u00e9s par des acteurs concurrents qui revendiquent des liens avec ShinyHunters ou usurpent purement et simplement le nom pour en emprunter la l\u00e9gitimit\u00e9.\r\n

La logique de marque comme strat\u00e9gie criminelle : pas une exception<\/h2>\r\nCette dynamique n’est pas propre \u00e0 ShinyHunters. Etablir des marques cybercriminelles est une pratique \u00e9tablie chez les MOA de type criminels-affili\u00e9s, utilis\u00e9e en partie pour brouiller les pistes des autorit\u00e9s, l’extorsion exposant intrins\u00e8quement l’acteur qui la pratique, et en partie comme une strat\u00e9gie marketing interne \u00e0 l’\u00e9cosyst\u00e8me, destin\u00e9e \u00e0 asseoir une domination et \u00e0 recruter de nouveaux membres tout en maintenant la pression sur les victimes. D’autres types de MOA criminels-affili\u00e9s, comme le ran\u00e7ongiciel-en-tant-que-service (RaaS) DragonForce suit une logique comparable, en s’appuyant sur sa propre sous-marque, RansomBay, pour disperser l’attribution des attaques men\u00e9es par ses affili\u00e9s.\r\n\r\nPour les organisations qui cherchent \u00e0 \u00e9valuer leur exposition, la cons\u00e9quence pratique est que chercher une d\u00e9finition stable de \u00ab qui est vraiment ShinyHunters \u00bb peut \u00eatre la mauvaise question. Les tactiques, techniques et proc\u00e9dures du groupe, en particulier sa d\u00e9pendance \u00e0 l’ing\u00e9nierie sociale contre les fournisseurs SaaS, constituent un signal bien plus stable. Le nom associ\u00e9 \u00e0 une revendication donn\u00e9e est, lui, souvent volontairement instable.\r\n

Ce qu’il faut retenir<\/h2>\r\n