전문가들은 여러 이유로 ShinyHunters의 주장에 의문을 제기하고 있습니다.
ShinyHunters의 주장 이전에 EY는 내부 지원 티켓에 사용되는 제3자 IT 서비스 관리(ITSM) 플랫폼과 관련된 별도의 확인된 데이터 침해 사고를 이미 공개한 바 있습니다. 주요 내용은 다음과 같습니다.
EY가 확인한 제3자 침해 사고와 ShinyHunters의 주장은 동일한 사건이 아닙니다. 전자는 EY가 이미 공개한 문서화된 사건이고, 후자는 연결 여부가 불확실한 입증되지 않은 주장입니다.
ShinyHunters는 2026년 가장 활발한 데이터 탈취 및 갈취 조직 중 하나로, 일관된 '침해, 탈취, 요구, 유출 또는 판매' 모델을 사용해 왔습니다. 2026년 주요 캠페인은 다음과 같습니다.
| 대상 | 시기 | 세부 내용 |
|---|---|---|
| Salesforce Experience Cloud 피해 기업 | 2026년 3월 | 잘못 설정된 Aura 엔드포인트를 악용하여 Qantas, Allianz Life, LVMH, Adidas, Google, Workday 등 수백 개 조직을 공격 |
| Instructure Canvas LMS | 2026년 5월 | Free-for-Teacher 계정의 XSS 취약점을 이용해 10일 간격으로 두 차례 침해, 약 3.6TB 데이터(2억 7500만 명 이상의 학생 기록) 탈취. FBI가 공개 경고 발령 |
| 유럽 평의회(Council of Europe) | 2026년 6월 | 297GB(429,000개 이상의 파일)의 인사 및 운영 데이터 탈취 주장, 6월 16일까지 유출 위협 |
| 코닥(Kodak) | 2026년 6월 | 220만 건의 고객 개인정보(PII) 탈취 주장, 6월 18일 유출 데드라인 설정. 이후 코닥이 침해 사실 확인 |
| Abbott Laboratories | 2026년 7월 | 유출 사이트에 Abbott을 게시하며 7월 18일 데드라인 설정, 이후 7월 21일로 연기 |
| Ernst & Young | 2026년 7월 | 공급망 침해 주장, 데드라인 7월 31일 (현재로서는 입증되지 않음) |
이 그룹의 주요 공격 방식은 암호화 기반 랜섬웨어가 아닌 보이스 피싱(vishing), 자격 증명 탈취, OAuth 토큰 남용, 공급망 침해에 의존합니다. 또한 분석가들은 ShinyHunters가 대금을 지불한 피해자(특히 PowerSchool 사례)를 재갈취한 사례도 있다고 지적하며, 협상이 매우 위험한 전략이 될 수 있다고 경고합니다.
FBI, Mandiant, EclecticIQ는 모두 ShinyHunters를 금전적 동기를 가진 '갈취-서비스' 집단으로 추적하며 경고를 발령했습니다. 이들은 AI 기반 사회 공학 및 SaaS 플랫폼 악용을 통해 빠르게 활동을 확장하고 있습니다.