网络安全公司ReliaQuest确认，其一名员工遭遇了社会工程学攻击。攻击者冒充安全团队成员，但未能成功访问公司系统和数据。公司表示，攻击者致电多名员工，并试图引导他们访问一个托管在内容分发网络之后的虚假单点登录（SSO）服务登录页面。
事件始于ReliaQuest威胁研究部门发出的一则警告：一个被归因于勒索组织ShinyHunters的活动正在进行。该活动通过注册使用.claims顶级域名的域名，并创建类似于目标机构帮助台和IT团队域名的地址来实施攻击。公司称，这些域名遵循一种模式，即在顶级域名前使用机构名称或其缩写；BleepingComputer的消息来源确定，本次事件中使用的域名为reliaquest.claims。
临时访问，但未能进入应用程序
一名遭到攻击的员工成功将凭据输入虚假的SSO页面，并通过手机批准了多因素身份验证通知。这使攻击者暂时获得了ReliaQuest身份面板的只读访问权限；据悉，攻击者在语音钓鱼电话中使用了一名真实安全团队员工的姓名。
但这次访问并未演变成更广泛的入侵。公司表示，设备信任控制阻止了随后通过身份面板访问应用程序的尝试，攻击者在尝试使用这些应用程序时持续遭到拒绝。据ReliaQuest称，其任何应用程序或系统均未被访问，客户数据也未受到影响。
公司终止了攻击者的会话，撤销了暴露的密码，并重置了所有身份验证令牌。此外，公司审查了自8月21日以来控制措施执行、设备信任以及来自网络内部的访问是否准确，并表示调查未发现访问其他账户、应用程序或数据的证据，也未发现攻击者在其系统中建立持久化手段的证据。
这一事件在实践中说明了什么？
这一事件表明，网络钓鱼成功、凭据被窃取以及批准MFA请求，并不自动意味着攻击者能够访问企业资源。在本案中，后续的一层控制措施阻止了来自未满足信任要求的设备或上下文的尝试。这一解读基于ReliaQuest描述的事件经过，并不能证明仅凭多因素身份验证阻止了入侵。
ShinyHunters发布了据称证明其入侵ReliaQuest一名员工Okta SSO账户的截图，随后将这些截图列入其数据泄露网站。该组织在一篇帖子中提到了ReliaQuest此前关于它的报告，并向BleepingComputer表示，其访问权限仅为只读，未触及应用程序、系统或客户数据。然而，ReliaQuest尚未进一步确认实施此次攻击的实体就是ShinyHunters，因此根据现有信息，将该事件归因于该组织仍是一个尚未确定的说法。