O ataque ShinyHunters contra ReliaQuest ganhou atenção após a empresa de cibersegurança confirmar que um de seus funcionários foi vítima de engenharia social, permitindo que um invasor obtivesse acesso temporário ao painel de identidade associado à conta comprometida.
O incidente ocorreu em 22 de agosto de 2026. Um dia depois, o nome da empresa americana de cibersegurança apareceu em um site de vazamentos associado ao ShinyHunters, levantando suspeitas sobre uma possível tentativa de extorsão.
Segundo a ReliaQuest, porém, o comprometimento teve alcance limitado. O invasor conseguiu visualizar o painel de identidade de um único funcionário, mas não teria acessado outras identidades, aplicações corporativas ou dados de clientes.
A empresa também afirma não ter encontrado sinais de persistência no ambiente.
O ShinyHunters, por outro lado, sugere que o comprometimento foi maior. Até o momento, no entanto, não foram apresentadas publicamente evidências suficientes para confirmar essa versão.
O que sabemos sobre o ataque ShinyHunters contra ReliaQuest
Segundo a investigação divulgada pela ReliaQuest, o ataque começou com uma técnica de engenharia social direcionada contra um funcionário da companhia.
O invasor utilizou uma página falsa de autenticação do Okta e conseguiu convencer a vítima a aprovar uma solicitação de autenticação multifator.
A ação concedeu ao criminoso uma janela temporária de acesso à conta. De acordo com a empresa, esse acesso permitia apenas a visualização do painel de identidade relacionado ao funcionário comprometido. A investigação não teria identificado acesso a outras contas ou aplicações internas.
Também não foram encontrados, segundo a ReliaQuest, indícios de que dados de clientes tenham sido acessados.
A companhia afirma ainda que o invasor não conseguiu estabelecer mecanismos de persistência, algo que poderia permitir a manutenção do acesso mesmo após a identificação da conta comprometida.
ShinyHunters colocou ReliaQuest em site de vazamentos
Em 23 de agosto, um site associado ao ShinyHunters publicou o nome da ReliaQuest entre seus supostos alvos.
Inicialmente, a publicação foi registrada como uma alegação não verificada relacionada a ransomware ou extorsão de dados.
A confirmação da ReliaQuest muda parte desse cenário porque estabelece que um incidente de segurança realmente ocorreu.
Isso, porém, não confirma automaticamente todas as alegações feitas pelo grupo. Existe uma diferença importante entre comprometer uma credencial e obter acesso amplo à infraestrutura de uma empresa.
Até agora, não foram apresentadas publicamente amostras verificadas de dados supostamente roubados que comprovem um comprometimento maior.
Também não há confirmação pública de impacto sobre clientes relacionada ao incidente descrito pela empresa.
ReliaQuest já investigava atividades do ShinyHunters
O episódio ganhou um componente adicional porque a própria equipe de pesquisa de ameaças da ReliaQuest havia publicado informações sobre atividades atribuídas ao ShinyHunters poucos dias antes.
Em 17 de agosto, a ReliaQuest Threat Research alertou sobre uma campanha envolvendo o registro de domínios com nomes de empresas utilizando a extensão .claims.
Segundo a análise, esses domínios poderiam ser utilizados em campanhas de engenharia social para personificar departamentos jurídicos, equipes de suporte e profissionais de tecnologia.
O objetivo seria criar comunicações suficientemente convincentes para induzir funcionários a entregar informações ou realizar determinadas ações.
Uma conta associada ao ator da ameaça respondeu à publicação da ReliaQuest com capturas de tela e a provocação “Who’s hunting who?”, algo como “Quem está caçando quem?” em português.
Posteriormente, outra publicação afirmou que a ReliaQuest Threat Research teria bloqueado a conta após a interação.
As publicações ajudaram a aumentar a atenção em torno do incidente, mas não funcionam como evidência técnica de que o grupo tenha conseguido acesso além daquele reconhecido pela empresa.
Engenharia social continua no centro dos ataques
O método utilizado contra a ReliaQuest também reforça uma mudança importante na forma como alguns grupos criminosos conduzem suas operações.
Em vez de depender exclusivamente da exploração de vulnerabilidades técnicas, atacantes podem concentrar esforços na manipulação de funcionários com acesso legítimo aos sistemas.
Páginas falsas de autenticação, personificação de equipes internas e solicitações fraudulentas de suporte são algumas das técnicas utilizadas nesse tipo de operação.
A vantagem para o atacante é relativamente simples: quando consegue convencer um usuário legítimo a realizar a autenticação, ele passa a operar utilizando uma ação que, inicialmente, pode parecer normal para os mecanismos de segurança.
É justamente por isso que engenharia social continua sendo uma das áreas mais difíceis de proteger. Não existe atualização de software capaz de corrigir completamente uma conversa convincente.
MFA continua importante, mas não é uma barreira absoluta
O incidente também coloca novamente em discussão as limitações de determinados mecanismos de autenticação multifator.
A adoção de MFA reduz significativamente o risco associado ao roubo tradicional de senhas. Isso não significa, porém, que todos os métodos ofereçam a mesma resistência contra phishing.
Quando o processo depende da aprovação do próprio usuário, criminosos podem tentar manipular essa pessoa para autorizar uma solicitação fraudulenta.
Por esse motivo, mecanismos de autenticação resistentes a phishing ganharam espaço nas estratégias de proteção de identidade.
Tecnologias baseadas no padrão FIDO2 e chaves de segurança, por exemplo, podem dificultar determinados ataques que dependem da captura ou reutilização de credenciais.
Ainda assim, controles técnicos precisam ser acompanhados de processos internos capazes de identificar solicitações incomuns e tentativas de personificação.
Ainda existem dúvidas sobre a extensão do incidente
Bom caros leitores(a) a principal questão agora é determinar se o acesso obtido pelo invasor realmente ficou limitado à conta descrita pela ReliaQuest.
A empresa afirma que sim. O ShinyHunters sugere o contrário.
Continua depois da publicidade
Até que novas evidências sejam apresentadas, a versão de um comprometimento mais amplo permanece sem comprovação pública.
Eventuais amostras de dados, novas informações técnicas, notificações a clientes ou comunicações regulatórias poderão ajudar a esclarecer o verdadeiro alcance do episódio.
Também será importante observar se o grupo responsável pelo site de vazamentos publica novos materiais relacionados à ReliaQuest ou altera sua reivindicação.
Por enquanto, o cenário mais sustentado pelas informações disponíveis é o de um ataque confirmado de engenharia social com alcance aparentemente limitado.
Clientes devem ficar atentos a ataques secundários
Clientes e empresas que mantêm integrações com a ReliaQuest devem acompanhar as comunicações oficiais sobre o incidente.
Também é recomendável atenção especial a mensagens que utilizem o episódio como justificativa para solicitar redefinições de senha, autenticações adicionais ou acesso a sistemas.
Incidentes de grande repercussão frequentemente são utilizados como contexto para novas campanhas de phishing.
Uma comunicação mencionando o ataque, portanto, não deve ser considerada legítima apenas porque apresenta informações corretas sobre o caso.
Equipes de segurança podem revisar atividades incomuns de autenticação, sessões administrativas, integrações, solicitações de suporte e possíveis tentativas de personificação relacionadas à ReliaQuest.
Mudanças de credenciais ou tokens, entretanto, devem ser realizadas com base em indicadores concretos e na avaliação de risco da organização, e não apenas porque o nome da empresa apareceu em um site de vazamentos.
Caso mostra que empresas de segurança também são alvos
O episódio envolvendo a ReliaQuest também expõe uma realidade pouco confortável para o setor.
Empresas de cibersegurança não estão fora da lista de alvos dos criminosos. Na verdade, podem ser ainda mais interessantes.
Fornecedores de segurança mantêm integrações, informações e relacionamentos com um grande número de organizações. Dependendo do nível de comprometimento, um ataque contra esse tipo de empresa pode criar oportunidades para operações contra terceiros.
Não há evidências públicas de que isso tenha acontecido no caso da ReliaQuest.
Mas o incidente demonstra por que grupos especializados em engenharia social continuam investindo em ataques contra identidades, suporte técnico e processos de autenticação.
A indústria passou anos construindo tecnologias capazes de tornar a invasão de sistemas cada vez mais difícil.
Os criminosos perceberam que, em algumas situações, é mais simples convencer alguém a abrir a porta.
