シャイニー・ハンターズ

シャイニー・ハンターズ（）は2020年に組織されたとされる悪質な犯罪ハッカーグループで、多数のデータ侵害に関与しているとされている。盗まれた情報は頻繁にダークウェブで販売される。

名称あるいは偽名 グループの名前は、ポケモンフランチャイズの仕組みであるシャイニーポケモンに由来しているという。ゲームでは、プレイヤーにとって見つけにくい稀に別の色違いで遭遇するポケモンがある。グループに関わるTwitterプロフィールのアバターには、光るポケモンの画像を載せている。

注目すべきデータ侵害 AT&T Wireless: 2021年、シャイニー・ハンターズは、利用者の個人情報、社会保障番号、電話番号を含む、7,000万人のAT&Tワイヤレス加入者に関する情報の販売を開始した。2024年にAT&Tはデータ侵害を認めた Tokopedia: 2020年5月2日、トコペディアがシャイニー・ハンターズに侵害され、9100万件の利用者アカウントのデータを保有していると主張、性別、場所、利用者名、フルネーム、メールアドレス、電話番号、ハッシュ化されたパスワードが暴露された Wishbone: 2020年5月、また、Wishboneの完全な利用者データベースを漏洩した。このデータベースには、利用者名、メールアドレス、電話番号、居住国/市区町村、ハッシュ化されたパスワードなど、個人情報が含まれるとされる Microsoft: 2020年5月、MicrosoftのプライベートGitHubアカウントから500GB超のMicrosoftソースコードを盗んだと表明した。このグループはハッキングされたGitHubアカウントから約1GBのデータをハッキングフォーラムに晒した。サイバーセキュリティ専門家の一部はコード分析を行うまでハッカーの主張を疑っていたが、シャイニー・ハンターズの主張はもはや議論の余地はなかった。Microsoftは声明において、この侵害を認識しているとWIREDに応え、後にGitHubアカウントを保護したが、シャイニー・ハンターズはどのリポジトリにもアクセスできないと報告、これを確認した Wattpad: 2020年7月、2億7000万件の利用者情報を含む:en:Wattpadデータベースを入手し、ユーザー名、本名、ハッシュ化されたパスワード、メールアドレス、地理的位置、性別、生年月日が漏洩した Pluto TV: 2020年11月、シャイニー・ハンターズがPluto TVの利用者320万人の個人データを入手したと報告された。利用者の表示名、メールアドレス、IPアドレス、ハッシュ化されたパスワード、生年月日といったデータがハッキングされた Animal Jam: 2020年11月には、オンラインゲーム:en:Animal Jamのハッキングに関与し、4,600万件のアカウントの漏洩も報じられた Mashable: 2020年11月、シャイニー・ハンターズは著名なハッカーフォーラムで5.22GB相当のマッシャブルのデータベースを漏洩した Pixlr: 2021年1月、Pixlrの190万件の利用者記録を漏洩した Nitro PDF: 2021年1月、シャイニー・ハンターズの一員であると主張するハッカーが、7,700万件の利用者記録を含む編集アプリ、:en:Nitro PDFの完全なデータベースをハッカーフォーラムで無料で漏洩した Bonobos: また、2021年1月にシャイニー・ハンターズがアパレル企業のBonobosの完全なバックアップクラウドデータベースをハッカーフォーラムに漏洩したと報告された。データベースには、700万人の顧客の住所、電話番号、注文の詳細、加えて180万人の顧客の一般的なアカウント情報、350万件の部分的なクレジットカード記録とハッシュ化されたパスワードが含まれているという アディティア・ビルラ・ファッション・アンド・リテール: 2021年12月、インドの小売業者が侵入され、身代金を要求された。身代金要求は拒否されたとされ、翌月に540万件の固有のメールアドレスを含むデータが人気のハッキングフォーラムに、氏名、電話番号、住所、生年月日、注文履歴、MD5ハッシュで保存されたパスワードなど、広汎な顧客個人情報が晒された Mathway: 2020年1月、シャイニー・ハンターズがMathwayに侵入し、約2,500万人の利用者情報を盗んだ。Mathwayは代数方程式を解くのに役立つ、学生に人気の数学アプリである Santander: 2024年5月30日、サンタンデール銀行がシャイニー・ハンターズに侵入され、スペイン、チリ、ウルグアイの全銀行員と顧客3,000万人の情報がハッキングされた。これはらはチケットマスターからのクレジットカード、住所、スタッフ情報であった

他のデータ侵害 下記は例として挙げられる事象または伝えられるその他のハッキングである。利用者情報の推測値も記す。

JusPay - 1億件の利用者記録 :en:Zoosk - 3000万件の利用者記録 Chatbooks - 1500万件の利用者記録 SocialShare - 600万件の利用者記録 :en:Home Chef - 800万件の利用者記録 :en:Minted - 500万件の利用者記録 The Chronicle of Higher Education - 3 million件の利用者記録 GuMim - 200万件の利用者記録 Mindful - 200万件n件の利用者記録 Bhinneka - 120万件の利用者記録 スター・トリビューン - 100万件の利用者記録 Dave.com- 750万件の利用者記録 Drizly.com - 240万件の利用者記録 Havenly - 130万件の利用者記録 Hurb.com - 2千万件の利用者記録 Indabamusic - 475,000 件の利用者記録 Ivoy.mx - 127,000件の利用者記録 Mathway - 2,580万件の利用者記録 Proctoru - 444,000件の利用者記録 - 2,200万件の利用者記録 Rewards1- 300万件の利用者記録 Scentbird - 580万件の利用者記録 :en:Swvl - 400万件の利用者記録 Glofox - 不明 Truefire - 60万2千件の利用者記録 Vakinha - 480万件の利用者記録 Appen.com - 580万件の利用者記録 Styleshare - 600万件の利用者記録 Bhinneka - 120万件の利用者記録 :en:Unacademy - 2200万件の利用者記録 Upstox - 11万件の利用者記録 Aditya Birla Fashion and Retail - 540万件の利用者記録

訴訟 シャイニー・ハンターズはトコペディアの侵害に関わり連邦捜査局、インドネシア警察、インド警察の捜査された。トコペディアのCEO兼創設者もTwitterの声明でこれを認めた。

:en:Minted社は、このグループのハッキングを米国連邦法執行当局に報告し、捜査が行われている。

カリフォルニア州の行政文書では、シャイニー・ハンターズのハッキングにより、アプリWishboneの制作者、Mammoth Mediaが集団訴訟に巻き込まれた経緯が明らかになった。

AAnimal Jamはシャイニー・ハンターズをFBIサイバータスクフォースに通報し、侵害されたすべてのメールに通知する準備があると述べた。また、侵害に関する質問に答えるために、自社サイトにデータ侵害アラートを作成した。

BigBasketは調査のため、2020年11月6日にベンガルール警察に第一情報報告書（FIR）を提出した。

Daveはまた、自社のセキュリティ侵害に関連した同グループに対する調査を開始した。調査は継続中で、同社は地元の司法機関およびFBIと連携している。

Wattpadはこの事件を司法機関に報告し、調査と連携するために第三者セキュリティ専門家を雇ったと述べた。

逮捕 2022年5月、このグループに所属しているとされたフランス人プログラマー、セバスチャン・ラウルがモロッコで逮捕、アメリカに引き渡された。ラウルは20年から116年の懲役刑に直面していた。

2024年1月にラウルは懲役3年の判決を受けて500万ドルの返還が下された 刑期のうち12ヶ月は通信詐欺共謀罪、残りは悪質な個人情報の窃盗罪である。後に36ヶ月の保護観察を受けることになる。西部ワシントン州の検事によれば、ラウルは2年以上は活動していた。

脚注