ShinyHunters mostra che l’accesso fidato vale più del malware
Il punto non è un nuovo malware. Il punto è che, se un attaccante entra da un account valido, da un OAuth token o da un’integrazione SaaS già autorizzata, passa per traffico normale e aggira il filtro che cerca intrusioni rumorose. In questo scenario MFA, patch e protezioni perimetrali servono meno di quanto molti playbook assumano, perché il varco non è nel software ma nella fiducia concessa all’identità.
Le ultime intrusioni attribuite a ShinyHunters si allineano su questo schema: Salesforce, Snowflake e Okta compaiono come ambienti colpiti, insieme a campagne che sfruttano credenziali rubate, vishing, abuso di OAuth e trust di terze parti. Le vittime citate nelle fonti attraversano education, healthcare e retail, segno che il modello non dipende da un singolo settore ma da ecosistemi SaaS connessi.
Per chi governa identity e app cloud, la lettura cambia il perimetro: il rischio non sta solo nelle password, ma nei grant e nelle relazioni di fiducia già attive tra servizi. Una volta ottenuto un accesso valido, il movimento laterale può restare quasi invisibile ai controlli pensati per malware e exploit.