Ces derniers mois, la couverture médiatique de la cybersécurité a mis en lumière à plusieurs reprises l'activité de Scattered Lapsus$ Hunters (SLSH), une alliance poreuse et en évolution rapide d'acteurs de la menace prétendant être associés à des groupes de jeunes cybercriminels tels que The Com, Lapsus$, Scattered Spider et ShinyHunters.
Avant que SLSH ne soit connue du public, les activités cybercriminelles revendiquées ultérieurement par le groupe ont commencé entre début et mi-2025. Durant cette période, Google a détaillé une série d'attaques qui a utilisé le phishing vocal et exploité des applications tierces connectées à OAuth pour compromettre des environnements Salesforce CRM appartenant à plusieurs organisations. Google a attribué ces intrusions à UNC6040, tandis que la phase d'extorsion ultérieure a été suivie sous le nom de code UNC6240, dont les opérateurs se sont identifiés comme ShinyHunters. (Dans la taxonomie des menaces de Google, l'acronyme UNC fait référence à un cluster non identifié, c'est-à-dire un groupe d'activités qui n'est pas encore entièrement attribué à un acteur de menace connu. Victimes connues Parmi les organisations concernées figuraient plus de 20 sociétés telles que Google, LVMH ou Allianz Life, dont les données Salesforce ont été consultées à des degrés divers et utilisées ultérieurement à des fins d'extorsion.
Entre le 8 et le 18 août 2025, une vague distincte a été suivie comme UNC6395 ont exploité les jetons OAuth et de rafraîchissement obtenus à partir d'intégrations Salesloft et Drift compromises pour accéder et extraire de grands volumes de données clients via les API Salesforce, sans compromettre la sécurité de Salesforce lui-même. activité signalée Plus de 700 organisations ont été touchées, dont Cloudflare, Zscaler, PagerDuty et Tanium.
Alors que Google a attribué les intrusions initiales à UNC6040 et UNC6395, responsables respectivement des compromissions basées sur le vishing et de l'exploitation ultérieure des jetons OAuth, seule la partie extorsion a initialement relié ces opérateurs d'intrusion à ShinyHunters.
Campagnes Salesforce CRM et SaleLoft, liens vers ShinyHunters et SLSH (Source : Flare)
En effet, dans les semaines qui ont suivi ces révélations, une vague d'activité baptisée « Chasseurs de Lapsus$ dispersés » est apparue sur Telegram.
Le 8 août 2025, un premier canal parmi tant d'autres a fait son apparition, revendiquant son affiliation au groupe, partageant des données de victimes présumées, formulant des demandes de rançon et amplifiant les menaces par des fuites publiques. Cette recrudescence de la communication a culminé en octobre 2025 avec le lancement d'un blog dédié à la dénonciation des rançongiciels, inspiré des sites de fuites de données de type « Rançongiciels-as-a-Service », signalant une évolution délibérée du vol de données opportuniste vers l'extorsion organisée.
Récemment, la visibilité croissante de SLSH a également attiré des acteurs opportunistes qui ont commencé à exploiter sa notoriété en prétendant faussement en être membres, ce qui a conduit à une prolifération incontrôlée de chaînes Telegram et a transformé SLSH en une sorte de marque cybercriminelle.
Cette enquête retrace les origines et la stratégie de communication de SLSH, montrant comment une simple campagne d'extorsion a évolué en une marque virale en ligne qui a fusionné marketing, imitation et spectacle pour devenir l'un des phénomènes de menace les plus déroutants de 2025.
Bien que les opérations policières aient permis, au fil des ans, l'arrestation de nombreux membres de réseaux cybercriminels liés à SLSH, la réutilisation systématique des mêmes pseudonymes et clés privées PGP pour signer et authentifier les activités entretient l'illusion d'une menace persistante et invincible. La clé PGP observée dans ces communications est identique à celle associée au compte ShinyHunters sur RaidForums, et ce depuis au moins 2023, ce qui indique qu'elle a été soit transférée, soit récupérée après l'arrestation des autres membres.
Une campagne de communication chaotique mais persistante
Sans compter Telegram chats, au moins 25 Telegram indirect Des groupes prétendant être liés à SLSH ont été créés entre le 8 août et le 17 octobre 2025. Parmi eux, nos recherches estiment que seuls 12 étaient liés au véritable groupe SLSH, tandis que les autres étaient gérés par des usurpateurs d'identité.
Les chaînes authentiques comme les chaînes usurpées étaient régulièrement bannies, ce qui obligeait les acteurs malveillants à recréer de nouvelles chaînes Telegram dont la durée de vie variait considérablement, allant d'une seule journée à quelques semaines pour les plus résistantes.
Depuis l' détention Suite à la déclaration du PDG de Telegram, Pavel Durov, en France le 24 août 2024, la plateforme a accéléré le bannissement des chaînes et comptes Telegram impliqués dans des activités cybercriminelles. Ces bannissements constants ont accentué le chaos qui régnait déjà au sein du groupe SLSH, mais ont également démontré sa volonté de poursuivre la diffusion de son message et souligné sa persévérance.
Chaînes Telegram associées à SLSH ou se faisant passer pour elles, août-octobre 2025 (Source : Flare)
Au sein des chaînes Telegram SLSH « réelles » (mais en réalité fictives), le style de communication était souvent puéril et se moquait ouvertement des forces de l'ordre et de la communauté de la cybersécurité. Par exemple, le 11 août 2025, les auteurs de la menace qualifiaient leurs propres discussions de « conneries débiles », exprimant une pitié moqueuse envers ce qu'ils croyaient être un agent des forces de l'ordre contraint de surveiller leurs activités.
SLSH se moque des forces de l'ordre (Source : Flare)
Outre les nombreuses allégations non vérifiées qu'il convient de prendre avec prudence, un imposteur probable de chaîne SLSH affirmé responsabilité de l'intrusion de Jaguar Land Rover.
En revanche, un véritable canal SLSH a partagé la publication de Ces informations semblent provenir des premières attaques contre Salesforce CRM que Google a attribuées à UNC6040. Cela suggère que les acteurs malveillants opérant au sein du groupe Telegram SLSH avaient soit accès aux données volées aux victimes, soit collaboraient avec les auteurs des attaques. Ceci corrobore l'affirmation d'UNC6240, le groupe responsable de la phase d'extorsion qui a suivi la campagne d'ingénierie sociale, selon laquelle il serait lié à ShinyHunters et, comme nous le verrons, établit un lien direct entre les origines de SLSH et ce groupe.
SLSH a affirmé posséder une base de données interne appartenant à Victoria's Secret (Source : Flare)
Capture d'écran partagée par SLSH pour prouver qu'ils avaient accès au CRM Salesforce de Victoria's Secret (Source : Flare)
SLSH a affirmé avoir accès à la solution Crowdstrike Falcon (Source : Flare)
L'objectif de SLSH était clairement de l’affichage que leur tactique d'extorsion et de diffamation avait fonctionné et que dialoguer avec eux et payer la rançon était le meilleur moyen de limiter les conséquences sur la réputation.
SLSH a partagé une capture d'écran censée montrer sa négociation via la messagerie qTOX avec une victime potentielle (Source : Flare)
Entre août et octobre 2025, les membres du SLSH à plusieurs reprises menacée Les institutions et entreprises gouvernementales australiennes. Un facteur clé semble être le régime australien qui a besoin Les organisations sont tenues de signaler tout paiement de rançon ou d'extorsion informatique dans un délai de 72 heures, ce qui comporte le risque que certains paiements enfreignent la législation en vigueur. Ensemble, ces mesures limitent le pouvoir de négociation et les perspectives de gains des groupes criminels comme SLSH.
SLSH a partagé une capture d'écran censée montrer leurs négociations avec une entreprise australienne (Source : Flare)
Les membres de SLSH ont exprimé leur frustration lors de leurs négociations avec les entreprises australiennes (Source : Flare)
L'aboutissement de plus de deux mois d'activités caractérisées par la stigmatisation des victimes, des publications chaotiques et des provocations ouvertes à l'encontre des forces de l'ordre et des principales entreprises de cybersécurité a été le lancer d'un site web d'extorsion le 3 octobre 2025. Clairement inspiré par les opérations de Rançongiciels-as-a-service, le blog de dénonciation était accessible à la fois via une adresse onion et sur le web classique, hébergé sur un domaine précédemment associé à BreachForums.
Avant de lancer cette campagne d'extorsion, des membres de ShinyHunters figuraient parmi les administrateurs de BreachForums, un forum anglophone de cybercriminalité réputé pour la publication d'informations sur les fuites de données. Depuis le printemps 2025, les forces de l'ordre internationales ont mené plusieurs opérations contre ce forum, le perturbant à plusieurs reprises par la saisie de noms de domaine et de son infrastructure.
Le 10 octobre 2025, les membres de SLSH A déclaré sur la chaîne Telegram « SLSH 6.0 part 3 lapsus$hiny$scatteredwizard » que BreachForums avait été repris par la police et qu'ils n'avaient pas l'intention de relancer la plateforme.
Le blog de dénigrement SLSH était accessible sur shinyhunte[.]rs, breachforums[.]hn et shinypogk4jjniry5qi7247tznop6mxdrdte2k6pdu5cyo43vdzmrwid[.]onion.
Dans sa finale des postes, SLSH revendiqué chercher à coopérer avec les cartels de la drogue mexicains pour vendre des données personnelles appartenant à des membres du FBI. Peu après, le 19 octobre 2025, « sevy », un acteur lié à ce réseau, posté Sur X, il est affirmé que « Shiny », l'une des figures clés, avait été arrêtée par la police. Bien que cette affirmation doive être considérée avec prudence, à ce jour, le groupe ne communique plus, mais ses méthodes de communication et d'extorsion devraient se poursuivre.
Des membres du SLSH ont menacé de dé-anonymiser des employés fédéraux américains et de vendre leurs données personnelles à des cartels de la drogue mexicains (Source : Flare).
Au cœur de la convergence SLSH–ShinyHunters : structure, liens et conséquences pour les forces de l’ordre
Il est intéressant de noter que la première mention d'une chaîne Telegram combinant les noms Scattered Spider, Lapsu$ et ShinyHunters dans le lac de données de Flare est antérieure aux événements de cette année et remonte à octobre 2024. À cette époque, plusieurs acteurs malveillants étaient actifs sur une chaîne nommée « lapsus$hiny$catteredwizard$pider », notamment un utilisateur connu sous le pseudonyme de « Judische » ou « Waifu », qui aurait par la suite été identifié comme étant Connor Moucka. arrêter au Canada pour son implication dans la violation de données Snowflake.
Un examen plus approfondi des messages publiés sur les chaînes Telegram officielles de SLSH et de « lapsus$hiny$catteredwizard$pider » datant de 2025 révèle qu'elles servaient fréquemment de premier canal de diffusion pour les messages signés PGP annonçant la fin des opérations de BreachForums ou commentant les activités en cours de SLSH et ShinyHunters. La vérification de ces messages signés PGP suggère que les membres du groupe SLSH étaient soit des membres actifs de ShinyHunters, soit avaient obtenu un accès à ses archives. clé PGP privée, alors que la clé publique correspondante avait été initialement a partagé la publication de sur RaidForums vers 2021 sur le profil utilisateur de l'acteur de la menace « ShinyHunters ».
Connexions entre les canaux SLSH et les clés de signature PGP de ShinyHunters et BreachForums (Source : Flare)
Une question essentielle se pose naturellement : comment le groupe ShinyHunters a-t-il pu poursuivre ses activités malgré les nombreuses arrestations qui ont touché le groupe et ses acteurs malveillants associés ces dernières années ? Selon les forces de l’ordre, plusieurs individus utilisant les pseudonymes « ShinyHunters », « IntelBroker », « Hollow », « Noct », « g0re », « Depressed » et « Sezyo Kaizen », tous âgés d’une vingtaine d’années et plus ou moins liés au groupe ShinyHunters, ont été arrêtés.
Malgré ces arrestations, les actions des forces de l'ordre n'ont probablement perturbé que certains membres ou certaines fonctions spécifiques, tandis que d'autres sont restés actifs, probablement parce qu'ils échappaient aux juridictions des forces de l'ordre occidentales. Ce pourrait être le cas, par exemple, du cybercriminel « rey », qui a probablement été démasqué après s'être infecté par un logiciel malveillant de vol d'informations il y a quelques années. 2023De plus, le maintien de l'utilisation de canaux de communication partagés et de clés PGP confirme l'idée que la continuité opérationnelle a été assurée grâce à des ressources communes, permettant à la marque de perdurer même après des arrestations importantes.
Les membres arrêtés connus de ShinyHunters, Lapsu$, Scattered Spider et The Com notent que les affiliations multiples n'ont pas été affichées par souci de clarté (Source : Flare)
Des imitateurs de Lapsus$ dispersés ?
Bien que les chasseurs de Lapsus$ dispersés aient cessé toute communication publique, il s'agit probablement d'une pause plutôt que d'un arrêt définitif de leurs activités. Leurs opérations ont démontré comment la publicité, l'intimidation et les fuites de données sélectives peuvent être utilisées pour amplifier considérablement la pression d'extorsion, bien au-delà du cadre technique d'une intrusion. Ce modèle s'est avéré efficace, simple à reproduire et attrayant pour d'autres groupes en quête de visibilité.
En septembre 2025, un groupe nouvellement apparu se faisant appeler Cartel de Coinbase Ils ont commencé à promouvoir un service d'extorsion de données axé uniquement sur l'exfiltration et la divulgation publique de données, sans aucun composant de chiffrement. Leur positionnement reprenait la stratégie de communication privilégiée initiée par SLSH : la visibilité, la dénonciation publique et les fuites sélectives comme principaux leviers. En octobre 2025, un autre groupe, Crimson Collective, a revendiqué sur Telegram la responsabilité de… violation de Red HatPeu avant que l'entreprise ne confirme un incident de sécurité concernant l'une de ses instances GitLab, la principale tactique consistait, une fois de plus, à faire parler d'elle afin de maintenir la pression sur la victime et de gagner en crédibilité.
Pris ensemble, ces développements montrent que l'approche SLSH a déjà commencé à propagation et réapparaîtra probablement lors de futures attaques sous de nouveaux noms et marques, avec différents niveaux de sophistication technique mais la même stratégie sous-jacente : voler des données, créer la panique, maintenir la visibilité et instrumentaliser l’exposition publique.
Message du canal SLSH 6.0 partie 3 relayant une publication de Crimson Collective proposant une collaboration (Source : Flare)
TTP observés
UNC6040 – Intrusion initiale (Applications connectées Salesforce) :
- J'ai effectué des appels d'hameçonnage vocal (vishing) en me faisant passer pour le personnel informatique interne.
- Ils ont piégé leurs victimes en les incitant à autoriser une application malveillante connectée à Salesforce (de type Data Loader) leur accordant un accès OAuth.
- J'ai utilisé les jetons OAuth obtenus pour interroger et extraire des données CRM.
UNC6395 – Abus de jetons OAuth (Intégrations Salesloft / Drift) :
- Utilisation de jetons OAuth tiers volés provenant d'intégrations telles que Salesloft et Drift.
- Accès aux instances Salesforce de l'entreprise via des appels API sans compromettre la sécurité de Salesforce elle-même.
- Exécution de requêtes SOQL en masse sur des objets clés (Comptes, Utilisateurs, Cas) et exfiltration d'ensembles de données.
- Nettoyage des traces par suppression des tâches de requête après l'exportation.
UNC6240 – Phase d’extorsion / Réclamations publiques (« ShinyHunters ») :
- Opérations menées des semaines, voire des mois, après le vol de données.
- Des messages d'extorsion et des menaces de fuite ont été émis, souvent signés ou marqués comme Chasseurs brillants pour augmenter la pression.
- Privilégier la publicité, l'intimidation et les fuites de données sélectives plutôt que le chiffrement.
Caractéristiques communes aux différents groupes
- Utilisation abusive d'OAuth au lieu de logiciels malveillants ou de chiffrement :
- Les acteurs malveillants ont systématiquement eu recours à l'ingénierie sociale et à l'abus de jetons OAuth pour obtenir un accès au niveau de l'API aux données Salesforce.
- Aucun chiffrement de fichier ni charge utile de Rançongiciels n'a été signalé dans les opérations UNC6040 ou UNC6395, le modèle était un vol de données pur suivi d'extorsion.
- Tor et l'infrastructure cloud standard :
- Les deux groupes UNC6040 et UNC6395 utilisaient des nœuds de sortie Tor, des services VPN (par exemple, Mullvad) et des fournisseurs de cloud tels qu'AWS ou DigitalOcean pour dissimuler leurs origines et mettre en place les données exfiltrées.
- Recherche d'identifiants et de clés API dans des données volées :
- Après avoir exporté de grands ensembles de données Salesforce, les acteurs d'UNC6395 ont recherché des secrets intégrés tels que des clés d'accès AWS et des jetons Snowflake pour permettre un accès ultérieur ou une revente.
Techniques MITRE ATT&CK
- Voix de spearphishing — T1566.004
- Vol de jeton d'accès à l'application — T1528
- Utiliser un autre matériel d'authentification : jeton d'accès à l'application — T1550.001
- Manipulation des jetons d'accès — T1134
- Proxy multi-sauts (Tor) — T1090.003
- Services distants externes / Services cachés Tor — T1133 (et listes de logiciels associés)
- Exfiltration via un service Web / Exfiltration vers le stockage cloud — T1567, T1567.002
- Exfiltration automatisée — T1020
- Informations d'identification dans les fichiers — T1552.001
- Comptes valides — T1078
