ShinyHunters afferma di aver hackerato un fornitore di dati per Microsoft e Meta

Il famigerato gruppo ransomware ShinyHunters ha aggiunto CyrusOne, un importante operatore di data center statunitense, alla sua lista di vittime, affermando di aver rubato una grande quantità di dati altamente sensibili. Se queste affermazioni fossero vere, potrebbe trattarsi di un vero disastro per l'azienda e i suoi clienti.

Complessivamente, ShinyHunters afferma di aver estratto da Salesforce 12.9 milioni di record, oltre 182,000 righe di oggetti contatto di Salesforce, più di 600 gigabyte di dati di SharePoint e oltre 8,300 record di dipendenti contenenti informazioni di identificazione personale (PII), nonché contratti firmati, accordi quadro di servizio, accordi di non divulgazione (NDA), contratti di servizio, planimetrie dei data center, schemi elettrici, registri di controllo degli accessi, audit dei badge, inventari fisici delle chiavi, politiche di sicurezza, documenti di gestione dell'affidabilità del bioambiente e numerose password e credenziali.

Non sono ancora stati pubblicati campioni, ma i ricercatori non considerano la cosa sospetta, bensì una tattica di pressione.

Cosa rende questo attacco diverso dagli altri?

In cambio della cancellazione di tutti i dati rubati, ShinyHunters chiede 13 milioni di dollari a CyrusOne, che al momento non commenta queste affermazioni e non sembra interessata a negoziare.

Gli aggressori hanno affermato di aver scritto: "Si rifiutano di pagare un ordine da 13 milioni di dollari. Hanno 24 ore di tempo per contattarci. Possediamo 12.9 milioni di record di Salesforce."

I gruppi di ransomware rubano continuamente dati aziendali sensibili, ma questo incidente potrebbe essere tra le violazioni di dati più gravi di sempre. Alcuni dei segreti rubati non possono essere facilmente modificati: planimetrie dei data center, schemi elettrici, registri di controllo degli accessi, audit dei badge e inventari fisici delle chiavi. Questo tipo di informazioni può essere utilizzato per attacchi fisici.

Se i criminali sanno come distribuire le chiavi, come organizzare un data center, dove si trovano le telecamere di sorveglianza e come operano le guardie, per loro è più facile introdursi fisicamente nel sistema.

"Non si può riparare un edificio", hanno avvertito i ricercatori, sottolineando che alcune modifiche, come quelle agli interruttori fisici e alle aree di accesso, richiedono comunque mesi e "soldi considerevoli", lasciando intendere quanto sia grave il problema.

CyrusOne gestisce circa 50 sedi negli Stati Uniti, al servizio di centinaia di aziende e organizzazioni. Tra i suoi clienti figurano aziende Fortune 1000, nonché giganti della tecnologia come Microsoft, Meta, Verizon, AT&T, IBM e CME Group.

A complicare ulteriormente la situazione, il gruppo ShinyHunters ha rubato informazioni sui clienti di CyrusOne, come Meta o Microsoft. Informazioni sulla posizione specifica dei clienti, sui servizi che pagano, sugli accordi di non divulgazione (NDA), sugli accordi sul livello di servizio (SLA) e sui dati di contatto potrebbero essere utilizzate per lanciare attacchi di phishing sofisticati e mirati, trasformando potenzialmente questo incidente in un attacco senza precedenti alla catena di fornitura di terze parti.

I ricercatori hanno aggiunto: "I contratti, gli accordi quadro di servizio (MSA) e gli accordi di non divulgazione (NDA) definiscono gli inquilini come un elenco di clienti applicato alla planimetria dell'edificio, con dettagli sui prezzi e accordi sul livello di servizio (SLA) allegati."

Nessuna reazione

A peggiorare ulteriormente la situazione, sembra che ShinyHunters abbia anche rubato informazioni sulle operazioni aziendali relative all'alimentazione, al raffreddamento e all'affidabilità dell'ambiente biologico, che potrebbero sfruttare per attaccare fisicamente i server, causando interruzioni, disservizi e potenzialmente incendi.

Il gruppo ha aggiunto CyrusOne al proprio sito web per la prima volta il 20 agosto 2026, sebbene il nome della vittima non fosse stato reso pubblico in quel momento, secondo i ricercatori. ShinyHunters ha invece pubblicato un avvertimento, che recitava: "Ultimo avvertimento: pagate o divulgheremo le informazioni". Alla società era stato concesso tempo fino al 24 agosto per contattarli, cosa che a quanto pare non è avvenuta.

Tre giorni dopo, il 23 agosto, ShinyHunters ha annunciato pubblicamente che CyrusOne era la loro vittima e ha dichiarato di chiedere 13 milioni di dollari per i file. La scadenza è ormai passata e nulla è cambiato : la vittima non si è ancora pronunciata e ShinyHunters non ha rilasciato i file.