ShinyHunters угрожают CyrusOne

Хакерская группировка ShinyHunters заявила, что атаковала CyrusOne — крупного американского оператора центров обработки данных, то есть компаний, которые размещают и обслуживают серверную инфраструктуру других организаций. Среди клиентов CyrusOne — сотни компаний, включая Microsoft, Meta, Verizon, AT&T, IBM и CME Group.

По утверждению преступников, они вывезли из систем CyrusOne огромный объём информации: 12,9 млн записей Salesforce, более 182 тыс. строк из объекта Salesforce Contacts и свыше 600 ГБ данных SharePoint. Также, по их словам, похищены сведения более чем о 8300 сотрудниках с персональными данными, заключённые контракты, генеральные соглашения об оказании услуг, соглашения о неразглашении и сервисные договоры.

Особенно опасной выглядит информация, связанная не с офисной перепиской, а с физической инфраструктурой. В списке заявленной добычи — планы помещений дата-центров, электрические схемы, записи о контроле доступа и проверках пропусков, перечни физических ключей, политики безопасности, документы по обеспечению надёжности критически важных инженерных систем, а также различные пароли и артефакты учётных данных.

ShinyHunters пока не опубликовала образцы файлов. Исследователи не считают это само по себе доказательством обмана: отсутствие публикации может быть частью тактики давления. За удаление украденных данных группировка требует у CyrusOne 13 млн долларов. Компания пока не комментирует заявление и, судя по всему, не проявляет интереса к переговорам.

«Они отказываются платить 13 млн долларов. У них осталось 24 часа, чтобы связаться с нами. У нас 12,9 млн записей Salesforce», — якобы написали злоумышленники.

Исследователи предупреждают: такой инцидент способен стать одной из самых разрушительных утечек, если заявленный объём подтвердится. Пароли можно сменить, а вот здание невозможно обновить одним патчем. Знание расположения камер, устройства помещений, порядка выдачи ключей и работы охраны может облегчить физическое проникновение. Даже заменяемые элементы — ключи и зоны доступа — потребуют месяцев и значительных расходов.

Риск затрагивает и клиентов CyrusOne. Сведения о расположении объектов, оплачиваемых услугах, контактных лицах, соглашениях о неразглашении и условиях обслуживания могут использоваться для тщательно подготовленных фишинговых атак. Контракты и приложения к ним фактически связывают список клиентов с картой зданий, ценами и условиями соглашений, что создаёт почву для масштабной атаки через цепочку поставок — когда злоумышленники используют взлом одного подрядчика для удара по его заказчикам.

Дополнительную угрозу представляет информация о системах электропитания, охлаждения и обеспечения надёжности критической среды. При подтверждении утечки эти данные могут помочь подготовить физические атаки на серверы, вызвать перебои, остановки оборудования и, потенциально, пожары.

20 августа 2026 года ShinyHunters впервые разместила CyrusOne на своём сайте, но тогда название жертвы было скрыто. Группировка опубликовала предупреждение «Последнее предупреждение — платите или мы сольём данные» и дала компании срок до 24 августа. 23 августа, через три дня, CyrusOne была названа публично, а сумма выкупа составила 13 млн долларов. К указанному сроку ситуация не изменилась: компания не выступила с заявлением, а ShinyHunters не опубликовала файлы. На данный момент факт заявленной кражи официально не подтверждён.