Az ADT elleni kibertámadás során mintegy 5,5 millió felhasználó személyes adatai kerültek illetéktelen kezekbe a Have I Been Pwned elemzése szerint. A támadás a ShinyHunters zsaroló csoporthoz köthető.

Az 1874-ben alapított ADT (American District Telegraph) az Egyesült Államok egyik legnagyobb otthoni biztonsági szolgáltatója, több mint 6 millió ügyféllel. A vállalat 2024-ben már két adatvédelmi incidenst is jelentett, amelyek során alkalmazottak és az ügyfelek adatai szivárogtak ki.

A vállalat tájékoztatása szerint az illetéktelen hozzáférést április 20-án észlelték. A vizsgálatok alapján a támadás korlátozott hatókörű volt, ugyanakkor lehetővé tette bizonyos személyazonosításra alkalmas (personally identifiable information, PII) információk megszerzését. Az érintett adatok között nevek, telefonszámok és lakcímek szerepeltek, kisebb arányban születési dátumok, valamint társadalombiztosítási számok vagy adóazonosítók utolsó négy számjegye is. A fizetési adatok (bankszámlaszámok, bankkártyaadatok) nem kompromittálódtak, és a biztonsági rendszerek működése sem sérült.

A támadók állítása szerint több mint 10 millió rekordhoz fértek hozzá, és egy 11 GB méretű adatcsomagot publikáltak a dark weben, miután a zsarolási kísérlet nem járt sikerrel. Az adatkészlet elemzése alapján a kiszivárgott információk e-mail-címeket, neveket, születési dátumokat, telefonszámokat, lakcímeket és hatósági azonosítókat tartalmaznak.

A támadás feltehetően egy alkalmazott, Okta alapú egyszeri bejelentkezési (single sign-on, SSO) fiókjának kompromittálásával történt, amelyet hangalapú adathalász támadással (vishing) szereztek meg. A hozzáférést követően a támadók adatokat loptak a vállalat Salesforce rendszeréből.

A ShinyHunters az elmúlt időszakban több, széles körű vishing kampányhoz köthető, amelyek a vállalatok és a külső szolgáltatók munkatársainak (Business Process Outsourcing, BPO) SSO-fiókjait célozzák, többek között Microsoft Entra, Google és Okta környezetekben. A vállalati SSO-fiókok feltörését követően a támadók különböző SaaS-rendszerekből (Salesforce, Microsoft 365, Google Workspace, SAP, Slack, Adobe, Atlassian, Zendesk, Dropbox) szereznek adatokat.

A csoport más szervezetek elleni támadásokat is magára vállalt, köztük a European Commission, a Rockstar Games, a McGraw Hill, a 7-Eleven, a Carnival Corporation, a Zara és az Udemy elleni incidenseket.