Scattered Lapsus$ Hunters

🗓️ Contexte Article publié le 4 avril 2026 par Luke Jennings sur le blog de Push Security. Il s’agit d’une analyse technique approfondie de la montée en puissance du device code phishing en 2026, technique exploitant le flux OAuth 2.0 Device Authorization Grant. 📈 Tendance observée Push Security a observé une augmentation de 37,5x des pages de device code phishing détectées en 2026 par rapport à l’année précédente. Dix kits distincts ont été identifiés en circulation, dont le plus prominent est EvilTokens, premier kit PhaaS (Phishing-as-a-Service) criminel dédié au device code phishing, lancé en février 2026. ...

Selon ReliaQuest, une nouvelle campagne du collectif « Scattered Lapsus$ Hunters » cible les utilisateurs de Zendesk via une infrastructure de domaines typosquattés et des techniques de phishing multi‑volets. ReliaQuest a identifié plus de 40 domaines typosquattés/imitant des environnements Zendesk (ex. znedesk[.]com, vpn-zendesk[.]com) créés au cours des six derniers mois. Plusieurs hébergent des faux portails SSO affichés avant l’authentification Zendesk, visant le vol d’identifiants. Certains domaines combinent le nom de plusieurs organisations pour accroître la crédibilité. Des similarités avec une campagne d’août 2025 contre Salesforce sont relevées (formatage des domaines, caractéristiques d’enregistrement, portails SSO trompeurs). ...

KrebsOnSecurity dévoile l’identité de « Rey », administrateur de Scattered LAPSUS$ Hunters, en retraçant ses erreurs d’OPSEC et en détaillant les campagnes de vishing Salesforce, le RaaS ShinySp1d3r et le recrutement d’initiés. Selon KrebsOnSecurity, un article d’enquête met au jour l’identité de « Rey », administrateur et visage public de Scattered LAPSUS$ Hunters (SLSH), un collectif mêlant Scattered Spider, LAPSUS$ et ShinyHunters, actif dans l’extorsion et la revente de données. ...

Selon TechCrunch, le collectif de pirates Scattered Lapsus$ Hunters revendique une brèche ayant affecté des données de clients de Salesforce et indique préparer une nouvelle campagne d’extorsion. Vol massif de données Salesforce touchant plus de 200 entreprises 1. Une compromission de supply chain à grande échelle Google a confirmé que des hackers ont exfiltré les données Salesforce de plus de 200 entreprises, via l’exploitation d’applications de Gainsight, un fournisseur CRM tiers connecté aux instances Salesforce de ses clients. ...

Source : Reuters — Contexte : Qantas a indiqué être « l’une de plusieurs entreprises » dont des données clients volées lors de la cyberattaque de juillet ont été publiées par des cybercriminels. Cet incident est présenté comme l’un des plus marquants en Australie depuis les attaques contre Optus et Medibank en 2022, qui avaient entraîné des lois obligatoires de résilience cyber. 🔓 Impact déclaré par Qantas : plus d’un million de clients ont vu des informations sensibles telles que numéros de téléphone, dates de naissance, adresses consultées. Quatre millions d’autres clients ont eu nom et adresse e‑mail dérobés. ...

Selon Unit 42 (Palo Alto Networks), le conglomérat « Scattered Lapsus$ Hunters » — incluant Muddled Libra, Bling Libra et des acteurs LAPSUS$ — mène des campagnes coordonnées d’extorsion basées sur le vol de données contre des clients Salesforce, tout en poursuivant ses activités malgré la saisie par le FBI de domaines liés à BreachForums. • Menaces et opérations: Les acteurs ciblent des plateformes cloud, notamment des locataires Salesforce et des environnements AWS, pour exfiltrer des données clients sans déployer de chiffrement ni de ransomware, privilégiant une extorsion par vol de données. Bling Libra a lancé un modèle Extortion-as-a-Service (EaaS) avec une commission de 25–30% sur les paiements, et opère un DLS (data leak site) listant 39 organisations. Le groupe collabore avec de nouveaux collectifs, dont Crimson Collective. ...

Selon Daily Dark Web, un groupe se faisant appeler « Scattered LAPSUS$ Hunters » a revendiqué une série d’intrusions visant des entreprises majeures des secteurs technologiques, de l’aviation et des télécommunications, en diffusant des échantillons de données sur son canal Telegram comme preuves. Les victimes listées par le groupe incluent : 🇺🇸 Dell 🇦🇺 Telstra 🇰🇼 Kuwait Airways 🇫🇷 Lycamobile (des clients en France seraient concernés) 🇺🇸 Verizon 🇹🇭 True Corporation & dtac Le groupe — dont le nom fait référence aux groupes d’extorsion Lapsus$ et Scattered Spider — affirme avoir exfiltré des données « étendues » variant selon la cible. Les catégories de données prétendument volées comprennent notamment : ...

Selon BleepingComputer, Google a confirmé qu’un compte frauduleux avait été créé dans sa plateforme Law Enforcement Request System (LERS), utilisée par les forces de l’ordre pour soumettre des demandes légales. Le compte a été désactivé et, selon Google, aucune requête n’a été transmise et aucune donnée n’a été consultée via ce compte. Le FBI a décliné tout commentaire alors qu’un groupe se présentant comme « Scattered Lapsus$ Hunters » affirme avoir accédé à la fois à LERS et au système eCheck du FBI, en publiant des captures d’écran de cet accès. ...