През уикенда групата за изнудване Arkana Security публикува за кратко обява, в която твърди, че продава новооткраднати данни на Ticketmaster. Според представената информация, обект на продажба били над 569 GB данни, което предизвика спекулации за нов пробив в сигурността.

Скоро след това обаче разследване на BleepingComputer установи, че въпросните файлове съвпадат с вече известни извадки от кражбата на данни от Snowflake през 2024 г. – атака, засегнала десетки компании, включително Santander, Ticketmaster, AT&T, Pure Storage и други.

Един от публикуваните от Arkana скрийншоти носеше надписа „rapeflaked copy 4 quick sale 1 buyer“ – препратка към RapeFlake, специализиран инструмент, използван от хакерите за достъп и извличане на данни от базите на Snowflake.

Както беше докладвано по-рано, пробивът в Snowflake стана възможен чрез компрометирани идентификационни данни, откраднати от инфостийлъри. Данните впоследствие бяха използвани за мащабни изнудвания от групата ShinyHunters.

Ticketmaster беше сред най-сериозно засегнатите – изтекли бяха лични данни и информация за билети. След първоначалната кражба през 2024 г., киберпрестъпниците започнаха да публикуват твърдения, че разпространяват дори фалшиви билети за концерти, включително такива на Taylor Swift.

Макар Arkana да не разкри конкретно произхода на данните, използваните файлови имена и референции към Snowflake ясно показват, че става въпрос за опит за препродажба на вече компрометирана информация.

Не е ясно дали групата Arkana е закупила данните, била е свързана с първоначалния пробив или просто действа съвместно със ShinyHunters. На 9 юни обявата за данните на Ticketmaster беше свалена от сайта на Arkana.

ShinyHunters е свързвана с десетки мащабни пробиви през последните години, включително с кражбата на данни на 62,4 милиона ученици и 9,5 милиона учители от системата PowerSchool. Последните данни на Mandiant сочат, че групата стои и зад атаки срещу акаунти в Salesforce с цел изнудване.

След арести на ключови членове на ShinyHunters през последните три години, остава неясно дали днешните действия се извършват от оригиналната група или от други хакери, използващи името ѝ, за да заблудят разследващите органи.