フィッシングキットは、ユーザーの認証情報を傍受できるほか、標的となったユーザーをだまして多要素認証をスキップさせる機能を備えているという。

　セキュリティ研究者のアロン・ガル氏は、Cybersecurity Diveに対し、2026年1月19日の週にShinyHuntersから連絡を受けたことを明らかにした。その連絡には、ボイスフィッシング攻撃を活用して、少なくとも3社から金銭を脅し取ったという主張が含まれていたようだ（注2）。3社に関する具体的な社名も挙げられていたが、現在Cybersecurity Diveは、それが事実かどうかを各社に確認している。

　最初の接触があったのは、ITニュースサイト「Bleeping Computer」がOktaの公表内容に関する記事を掲載した後だ。報道によると、攻撃ではOktaのシングルサインオン（SSO）アカウントが標的にされていたという（注3）。

　2026年1月26日になり、ガル氏は「主張の対象が現在は5社に拡大している」と述べた。

　サイバーセキュリティ事業を営むSophosの研究者たちは、Cybersecurity Diveに対し、「2025年12月に作成され、データ窃取や金銭の恐喝要求につながるボイスフィッシング攻撃に使用されている約150件のドメイン群を追跡している」と語った。

　SophosのCounter Threat Unitで脅威インテリジェンスを担当するレイフ・ピリング氏（ディレクター）は、Cybersecurity Diveに対し次のように語った。

　「全てが実際に使用されたかどうかは確認できていないが、攻撃者は標的ごとに専用のドメインを作成している。これらのドメインはシングルサインオンのサービスを装ったテーマになっており、Oktaのような認証プロバイダーになりすましている」

　Google Threat Intelligence Group（GTIG）の研究者たちは、この脅威活動を追跡していることを確認した。2026年1月26日には、GTIGのインシデント対応部門であるMandiantが、脅威活動に関する追加の詳細を明らかにしている。

　Mandiant Consultingのチャールズ・カーマカル氏（最高技術責任者）は、Cybersecurity Diveに対して次のように語った。

　「Mandiantは、ShinyHuntersの名を語る新たな進行中の攻撃キャンペーンを追跡している。キャンペーンでは、進化したボイスフィッシングの手法を用いて、被害組織からシングルサインオン（SSO）の認証情報が不正に取得されている。攻撃者は、管理するデバイスを被害組織の多要素認証（MFA）システムに登録することに成功した」

　カーマカル氏によると、脅威活動は現在も活発に継続しているという。攻撃者は最初の侵入に成功した後、SaaS環境へと横展開し、被害組織のシステムから機密データを窃取した。また、ShinyHuntersを名乗るハッカーが、標的となった一部の組織に対して金銭を要求している。

　Mandiantは、組織に対し、FIDO2セキュリティキーやパスキーなど、フィッシング耐性のある多要素認証へ切り替えることを推奨している。管理者は、アプリケーション認可に対するストライクポリシーを有効にし、通常とは異なるAPIの動きや、承認されていないデバイス登録がないかログを監視すべきだとした。またMandiantは、リスクは特定のベンダーのセキュリティ脆弱（ぜいじゃく）性やインフラの問題に起因するものではないと指摘している。

　Googleの広報担当者は「今回のソーシャルエンジニアリング攻撃キャンペーンによって、Googleおよび同社の製品はいずれも影響を受けていない」と述べた。