Scattered Lapsus Hunters

正体と来歴

Scattered Lapsus$ Hunters（SLH、SLSH、SP1D3R HUNTERSとも）は、Scattered Spider（Muddled Libra）、Bling Libra（ShinyHunters）、LAPSUS$の3つに連なる者たちから成るとされる犯罪者同盟である[s2]。2025年8月8日にTelegramチャネルが現れ、3組織の構成員とブランドを束ねると称し、近日公開をうたうRaaS「shinysp1d3r」を宣伝した。このチャネルは後にTelegramに削除された[s4][s5]。LevelBlue（Trustwave SpiderLabs）は、チャネルが少なくとも16回削除・再作成されたと報告している[s6]。同社はSLHを3組織の正式な合併ではなく、状況に応じた連合のブランドと評価し、約30のハンドルが確認される一方で中核を担うのは5人未満とみている[s6]。主導役は「shinycorp」（@sp1d3rhunters、@sloke48、@shinyc0rpなどの名義）とされる[s6]。KrebsOnSecurityは「Rey」を主管理者かつ技術担当に結びつけ、Hellcatランサムウェアのリークサイトや直近のBreachForums再開との関係も指摘している[s4]。The Comと呼ばれる英語圏中心の犯罪サブカルチャーに連なる[s2][s4][s7]。主な動機は金銭だが、注目を集める演出的な振る舞いが目立つ[s6]。

手口

初期侵入の中心はvishingである。ITヘルプデスクを装って従業員に電話し、MFAのリセット、リモート管理ツールの導入、Salesforceの/setup/connectページでの不正アプリ承認へ誘導する[s4][s5]。承認されたアプリ（細工されたData Loaderとされる）が長期有効なOAuthトークンを生み、MFAを回避してCRMデータへAPIアクセスできるようになる。Salesforce自体の脆弱性は悪用されていない[s2][s4]。AI音声エージェントによる自動架電の利用も報じられた[s4][s5]。インフォスティーラーで得たセッションクッキーの悪用、OktaやMicrosoft SSO、Citrix、GitHub／GitLab権限を持つ内部関係者の公募も確認されている[s4][s5]。8月31日の募集投稿では連絡先に@shinyc0rpが示された[s5]。SalesloftのDriftを狙ったサプライチェーン攻撃では、GitHubアカウントのフィッシングからAWSに入り、OAuthトークンを盗んで下流の顧客環境へ進んだ[s5][s7]。Gainsight経由では、そのトークンを使って新たに285のSalesforceインスタンスに到達したと主張している[s3][s7]。

恐喝の形としては、暗号化を伴わないデータ窃取型のExtortion-as-a-Service（EaaS）を掲げ、支払額の25〜30%を取り分とすると主張した[s2]。Telegramでは経営層宛てのメール送付を手伝う協力者も募った[s2]。2025年10月3日に暴露サイトを開設し、39組織の名を掲げて10月10日を支払期限とした[s2]。Salesforce本体にも要求したが、同社は支払わない方針を示した[s2]。さらにWindows向けRaaS「ShinySp1d3r」が開発中で、Linux・ESXi版も近いと代表者は語った[s3]。

標的と主な被害

標的はテクノロジー、小売、高級ファッション、航空、保険で、顧客データや連携アプリの管理が弱い大企業が狙われる[s4]。被害は米国、英国、カナダ、豪州に多く、フランスとドイツでも出ている[s4]。Unit 42は小売・宿泊業の被害に警鐘を鳴らし、ポイント詐欺などへの悪用を指摘した[s2]。攻撃者は91組織のデータを盗んだと主張し、Adidas、Cartier、Google、Louis Vuitton、Qantas、Air France–KLM、Allianz、Cisco、Pandoraなどの名を挙げた[s4]。また、Salesloft Drift関連で1000社超・15億件超のレコードを盗んだと主張した[s7]。Red Hatは、Crimson Collectiveが主張した約570GBの流出の原因がGitLabインスタンスへの侵入だったと確認した[s2]。このとき、SLHは暴露サイトで被害者を掲載する形で連携した[s2]。2025年11月21日にCrowdStrikeは、解雇済みの従業員が社内画面のスクリーンショットを共有したと認めた[s3]。Bling Libraは内部者に25,000ドルを支払うことに同意したと述べた[s3]。日本の組織名は出典に挙がっていない。

動向

2025年9月17日に「going dark」を宣言したが、活動は続いた[s2][s5]。2025年10月9日、FBIがBreachForums関連ドメインを押収し、暴露サイトのクリアネット版も止まった。Bling Libraは中核メンバーの逮捕はなくダークネット版は無事と述べた[s2]。SOCRadarはFBIとフランスのBL2Cが押収したと伝え、内部メッセージには欠員やサーバー侵害をうかがわせる内容があるとした[s4]。11月中旬以降は活動を再開し、Gainsight関連の期限を示唆し、ShinySp1d3rの実サンプルが確認された[s3][s4]。同月24日には2025年の被害者総数を約1,500件と主張した[s3]。2026年にはAiTM型フィッシングキットでOkta、Entra、Google SSOを狙い、SoundCloudやMatch Groupなどの被害が報じられた[s7]。RansomLookは初出を2025年10月3日、連絡手段をメール（shinyc0rp@tuta[.]io）と記録している。