ShinyHunters (G1057): extorsão e roubo de dados em nuvem

O ShinyHunters deixou de ser apenas mais uma marca de vazamento em fórum clandestino para se tornar um dos vetores de extorsão em nuvem mais custosos dos últimos anos. Este artigo mapeia como o grupo evoluiu de despejos de bancos de dados em 2020 para o roubo sistemático de dados em plataformas SaaS e data warehouses, com base nas campanhas contra Snowflake em 2024 e Salesforce/Salesloft-Drift em 2025, e traduz o que isso exige de times de CTI, SOC e identidade no Brasil.

Quem é o ShinyHunters (G1057)

O ShinyHunters é um grupo cibercriminoso financeiramente motivado ativo desde aproximadamente 2019. Além do nome público, o coletivo aparece na literatura de inteligência de ameaças sob os aliases UNC6240 e Bling Libra, e opera personas em fóruns e canais de venda como ShinyCorp. O modelo de negócio original era o clássico pay-or-leak: comprometer bancos de dados, anunciá-los em fóruns como o extinto RaidForums e depois o BreachForums, e monetizar por venda direta ou extorsão da vítima sob ameaça de publicação.

Entre 2020 e 2021, o grupo construiu reputação com uma sequência de grandes vazamentos: Tokopedia (cerca de 90 milhões de registros), Wattpad (cerca de 270 milhões), além de BigBasket, Pluto TV e Mashable. Nesse mesmo período circulou a alegação de roubo de código-fonte do GitHub privado da Microsoft; a Microsoft, contudo, afirmou tratar-se de amostras e snippets sem comprometimento real confirmado, e essa alegação permanece contestada, não deve ser tratada como fato estabelecido.

O ShinyHunters não opera isolado. Ele integra o ecossistema informal conhecido como The Com, uma rede difusa de atores de língua inglesa que também abriga grupos como Scattered Spider e Lapsus$. Essa proximidade explica sobreposições de táticas e a aparição, em agosto de 2025, de um canal no Telegram autointitulado Scattered Lapsus$ Hunters (também chamado de Trinity of Chaos) reunindo as marcas dos três grupos. É importante ler esse rótulo pelo que ele é: uma autoproclamação de aliança e branding de ecossistema amplificada por reportagem, não uma fusão corporativa verificada de estruturas operacionais.

Como o MITRE catalogou o grupo (G1057)

Em 2025, o MITRE ATT&CK formalizou o ShinyHunters em sua base de grupos adversários, atribuindo-lhe o identificador G1057 na versão v19.2 do framework. O catálogo reúne cerca de 46 técnicas associadas ao grupo, com concentração clara em acesso a nuvem, abuso de credenciais válidas e extorsão financeira, refletindo a mudança de foco de despejos de banco de dados para roubo de dados em ambientes SaaS e data warehouses. Para quem constrói detecção, esse mapeamento é o ponto de partida para transformar o comportamento observado do grupo em regras acionáveis. Se sua equipe ainda não usa o ATT&CK como base de cobertura, nosso guia completo do MITRE ATT&CK Enterprise mostra como estruturar essa matriz e por que a catalogação de grupos como o G1057 acelera a priorização de casos de uso do SOC.

A leitura correta do perfil G1057 no ATT&CK evita um erro comum: procurar por malware sofisticado ou exploits de dia zero. O grupo raramente precisa disso. A maior parte do dano vem de credenciais legítimas obtidas por outros meios e do abuso de mecanismos de confiança já existentes entre plataformas SaaS.

Snowflake (2024): credenciais de infostealer e contas sem MFA

A campanha contra clientes da Snowflake em 2024 é o caso que consolidou a virada do ShinyHunters para roubo de dados em nuvem. O cluster de intrusão foi rastreado pela Mandiant e pelo Google Threat Intelligence sob o identificador UNC5537. Um ponto de precisão técnica é obrigatório aqui: a Mandiant não equaciona UNC5537 diretamente ao ShinyHunters. O que se pode afirmar é que os dados roubados da Snowflake foram vendidos e usados para extorsão sob a marca ShinyHunters, enquanto a atribuição técnica do cluster de intrusão coube a UNC5537, sem que as duas designações sejam declaradas a mesma entidade.

O vetor de acesso não envolveu qualquer falha na plataforma Snowflake em si. Os atacantes usaram credenciais previamente roubadas por infostealers, incluindo famílias como VIDAR, REDLINE, LUMMA, RACOON e METASTEALER, contra contas que não tinham autenticação multifator ativada nem allow-list de rede configurada. Segundo o Google Threat Intelligence, 79,7% das contas afetadas já tinham exposição prévia de credencial, e a infecção por infostealer mais antiga associada ao caso remontava a novembro de 2020, um lembrete de que credenciais roubadas anos antes permanecem exploráveis enquanto não forem rotacionadas.

O desdobramento judicial reforça a conexão com o The Com. Connor Riley Moucka, conhecido como Alexander Moucka, cidadão canadense, foi preso em 30 de outubro de 2024 e consentiu com a extradição para os Estados Unidos em março de 2025; John Binns foi preso na Turquia. Ambos foram indiciados no Distrito Oeste de Washington, e as autoridades estimaram cerca de US$ 2,5 milhões extorquidos de três vítimas, com os acusados vinculados ao ecossistema The Com. A detecção de credenciais expostas por infostealer é, portanto, um controle de primeira linha, e alimenta diretamente as práticas de detecção de ameaças de identidade (ITDR) que discutimos adiante.

Salesforce / Salesloft-Drift (2025): abuso de tokens OAuth e cadeia SaaS

Se Snowflake mostrou o poder de credenciais roubadas contra contas sem MFA, a campanha de agosto de 2025 elevou a aposta ao explorar a confiança entre plataformas SaaS. Os atacantes roubaram tokens OAuth e refresh tokens da integração Drift, o produto de chat da Salesloft, e os usaram contra mais de 700 instâncias de Salesforce downstream. O Google rastreou o acesso inicial como UNC6040 e a atividade de extorsão como UNC6240, o alias que também identifica o ShinyHunters.

A raiz da cadeia de suprimentos é instrutiva. O comprometimento começou no ambiente GitHub da Salesloft em março de 2025, avançou para o ambiente AWS da Drift e culminou na coleta em massa de tokens de integração. De posse desses tokens, os atacantes acessaram os ambientes Salesforce de clientes que haviam autorizado a integração Drift, sem precisar de senha ou MFA de nenhum usuário final, porque o token OAuth já representava uma autorização válida e ativa. Esse é o cerne do risco: tokens de aplicação são identidades não-humanas com escopo amplo e vida longa, e sua governança costuma ser negligenciada. É exatamente o tema da nossa análise sobre governança de identidades não-humanas e tokens OAuth, cujo caso Salesloft-Drift virou exemplo canônico.

As empresas que confirmaram impacto publicaram avisos oficiais entre agosto e setembro de 2025: Cloudflare, Google, PagerDuty, Palo Alto Networks, Proofpoint, Zscaler e Tanium. Em 12 de setembro de 2025, o FBI publicou um alerta FLASH atribuindo as intrusões em Salesforce a UNC6040, ligado ao ShinyHunters por táticas de vishing e por um aplicativo conectado falso, e a UNC6395, com sobreposição a Scattered Spider. A recorrência de segredos e tokens em repositórios como ponto de partida reforça por que a higiene de segredos, tema do nosso comparativo de gestão de segredos corporativos, precisa incluir varredura contínua e revogação rápida.

TTPs principais em ATT&CK

Traduzido para o vocabulário do ATT&CK, o comportamento do G1057 concentra-se em um punhado de técnicas de alto impacto. Mapear casos de uso do SOC contra essa lista cobre a maior parte do modus operandi observado:

• Valid Accounts (T1078): uso de credenciais legítimas roubadas por infostealer para acessar SaaS e data warehouses, contornando defesas perimetrais.
• Application Access Token (T1550.001): abuso de tokens OAuth e refresh tokens de integrações de terceiros, como no caso Salesloft-Drift, para autenticar sem senha nem MFA.
• Data from Cloud Storage (T1530): exfiltração de dados diretamente de repositórios e objetos em nuvem após obter acesso válido.
• Compromise Software Dependencies and Development Tools (T1195.001): comprometimento de ambientes de desenvolvimento e cadeia de suprimentos SaaS, como o GitHub da Salesloft, para alcançar vítimas downstream.
• Financial Theft (T1657): monetização por extorsão da vítima sob ameaça de publicação dos dados roubados.

O padrão comum a todas essas técnicas é a ausência de malware persistente no endpoint. O grupo vive de identidade e confiança, não de implantes, o que exige que a detecção se desloque do endpoint para o plano de identidade e para o comportamento de acesso a dados em nuvem.

Como detectar e se defender

As recomendações a seguir derivam diretamente das lições de Snowflake e Salesforce/Drift. Nenhuma delas depende de tecnologia exótica; todas dependem de disciplina de identidade e de visibilidade sobre acesso a dados.

Perguntas Frequentes

Conclusao

O ShinyHunters é um estudo de caso sobre como o crime cibernético financeiramente motivado se adaptou à realidade da nuvem. O grupo praticamente abandonou a exploração de vulnerabilidades técnicas em favor de algo mais barato e mais difícil de detectar: credenciais legítimas roubadas e a confiança implícita entre plataformas SaaS. Snowflake mostrou o custo de contas sem MFA; Salesforce/Salesloft-Drift mostrou o custo de tokens OAuth de longa duração e escopo amplo governados de forma negligente.

A implicação para times de segurança brasileiros é clara e desconfortável ao mesmo tempo. A defesa contra o G1057 não passa por comprar mais uma ferramenta de endpoint, mas por disciplina de identidade: MFA resistente a phishing sem exceções, inventário e rotação de tokens de integração, allow-list de rede em ativos de dados críticos e visibilidade contínua sobre credenciais vazadas e exfiltração anômala. São controles conhecidos, e é justamente a sua ausência que o grupo explora com consistência.

Monitorar a exposição antes que ela vire extorsão é uma decisão de maturidade, não de orçamento. As organizações que trataram identidade não-humana e higiene de segredos como controles de primeira linha, e não como itens de checklist anual, são as que menos apareceram nas listas de vítimas de 2024 e 2025.