В начале июня хакерская группа ShinyHunters, известная по предыдущим атакам, взломала системы Madison Square Garden (MSG), получив доступ к 45 ГБ данных, включая личные файлы сотрудников и досье на знаменитостей. Как выяснило издание 404 Media, методом атаки стал вишинг — голосовая версия фишинга.
Злоумышленники позвонили низкоуровневому сотруднику MSG и, представившись сотрудниками техподдержки, убедили его пройти процедуру самосброса пароля (SSPR) в Microsoft Entra — системе управления учётными записями. Хакеры заставили жертву подтвердить многофакторную аутентификацию (MFA), после чего получили доступ к её OneDrive, а оттуда — к общесетевым ресурсам, включая SharePoint. Об этом рассказал участник ShinyHunters в переписке с 404 Media.
По словам хакеров, атака произошла 5 июня, а её тактика повторяет метод, описанный Microsoft в майском блоге. Microsoft тогда предупреждала об атаках, где злоумышленники инициируют SSPR и используют MFA-уведомления, чтобы заставить жертву одобрить вход. В случае с MSG всё прошло по схожему сценарию.
Хакеры позвонили сотруднику и убедили его пройти процедуру сброса пароля, включая подтверждение MFA.
Утечка включала не только рабочие документы, но и личные данные сотрудника — налоговую форму W-2 с именем и другой конфиденциальной информацией. Среди похищенных данных также оказались файлы о знаменитостях, посетителях и активистах, выступавших против системы распознавания лиц MSG. Юридическая фирма Morgan and Morgan подала коллективный иск, связывающий утечку с практиками наблюдения арены.
ShinyHunters заявили, что выбрали MSG из-за агрессивной системы наблюдения, надеясь получить выкуп, но компания не заплатила. MSG не ответила на запрос о комментарии. Инцидент вновь привлекает внимание к уязвимости корпоративных сетей перед социальной инженерией, особенно перед вишингом, который становится всё более распространённым среди молодых англоязычных хакеров.
