انتقل إلى المحتوى الرئيسي

تنبيه عاجل بشأن التهديدات: حملات التصيد الاحتيالي عبر الهاتف وانتحال هوية النطاق من قبل برنامج ShinyHunters

نشرة التهديدات: حملات التصيد الصوتي وانتحال النطاق التي تقوم بها مجموعة ShinyHunters تستهدف قطاع الصحة العالمي بشكل فعال.

حملات التصيد الصوتي وانتحال النطاقات التي تقوم بها شركة ShinyHunters تستهدف قطاع الصحة العالمي بشكل فعال

نشرات التهديدات | TLP:WHITE | رقم التنبيه: 24113aee | 28 أغسطس 2026 | 03:37 مساءً بتوقيت شرق الولايات المتحدة

 

تشكل عصابة الجرائم الإلكترونية ShinyHunters خطرًا واضحًا وحاضرًا على قطاع الصحة العالمي، حيث تمثل تهديدًا مباشرًا من خلال حملات التصيد الصوتي (vishing) المستمرة والمستهدفة للغاية والتي تهدف إلى خداع موظفي المؤسسات للكشف عن بيانات اعتمادهم على نطاقات انتحال شخصية خبيثة ذات طابع طبي.

تستهدف هذه المجموعة قطاع الصحة بنشاط، وقد نجحت في عدة حالات مؤخرًا بتجاوز المصادقة متعددة العوامل (MFA) للتحول السريع من منصات تسجيل الدخول الموحد (SSO) إلى تطبيقات SaaS المتصلة، وذلك لتسريب البيانات على نطاق واسع وابتزازها. ونظرًا لأن هذه الحملات تُشكل خطرًا جسيمًا يتمثل في اختراق بيانات الاعتماد والوصول غير المصرح به إلى البنية التحتية للشركات، فإننا نحث جميع أعضاء Health-ISAC بشدة على مراجعة التوصيات الواردة أدناه والالتزام بها بدقة.

خلال الأسبوعين الماضيين، أصدرت منظمة Health-ISAC تحذيرات لعدد من مؤسسات القطاع الصحي بعد رصدها حملات تصيد صوتي متواصلة وموجهة بدقة. تهدف هذه الحملات إلى خداع المستخدمين لحملهم على كشف بيانات اعتمادهم على مواقع خبيثة تحاكي صفحات تسجيل الدخول الرسمية، مما يسهل الوصول غير المصرح به.

إن الجزء الأكثر وضوحًا في العملية هو إنشاء نطاقات باسم company-claims[.]com أو company[.]claims تنتحل شخصية الشركة الموجودة في النطاق.

تشير الملاحظات الحديثة إلى أن الجهات الفاعلة في التهديدات - المرتبطة تحديدًا بمجموعة الابتزاز الجنسي ShinyHunter - تصل إلى الموظفين مباشرة على الأجهزة المحمولة الشخصية عبر المكالمات والرسائل الصوتية، بالإضافة إلى إرسال رسائل بريد إلكتروني جماعية للمستخدمين من حسابات عشوائية متعددة.

يشير التسجيل الأخير للنطاقات ذات الطابع الطبي إلى توسع نطاقها ليشمل العمليات الصحية ووحدات الأعمال المتخصصة، مما يؤكد النية في إرساء وصول أولي دائم عبر قطاعات مؤسسية متنوعة. [انظر الرسم البياني في ملف PDF]

بالنسبة لـ"صائدي البيانات الموحدين" (ShinyHunters)، تُعدّ منصة تسجيل الدخول الموحد (SSO) بمثابة لوحة التحكم. فبمجرد اختراق هوية ما، ينتقل المهاجمون بسرعة من لوحة تحكم موفر الهوية المركزي (IdP) إلى منصات SaaS المتصلة (مثل Microsoft 365 وSharePoint وSalesforce) لاستخراج البيانات الحساسة والاتصالات الداخلية. يوفر هذا الاختراق الواسع النطاق للبيانات عبر الحوسبة السحابية النفوذ اللازم لتلبية مطالبهم اللاحقة بالابتزاز.

يتمثل النمط التشغيلي الأساسي الذي تم تحديده عبر تسجيلات البنية التحتية هذه في استخدام النطاقات المسجلة حديثًا والتي تبدأ باسم الشركة المستهدفة، متبوعة بنهايات متغيرة مصممة خصيصًا لطُعم التصيد الاحتيالي المحددة.

تشكل هذه الحملات خطراً جسيماً يتمثل في اختراق بيانات الاعتماد، وتجاوز المصادقة متعددة العوامل (MFA)، وما يترتب على ذلك من وصول غير مصرح به إلى البنية التحتية للشركات ومنصات الحوسبة السحابية/البرمجيات كخدمة (SaaS).

قدّم مركز تبادل المعلومات والتحليلات الصحية (Health-ISAC) دفعات من التنبيهات المُستهدفة إلى العديد من المؤسسات بعد أن شارك شركاء الاستخبارات معلوماتٍ تفيد بإنشاء نطاقات مُقلّدة ومنتحلة للهوية باستخدام بنية تحتية تُحاكي الشركة الأصلية. وقد أدّى ذلك إلى اختراق بيانات اعتماد المستخدمين على صفحات تُشبه بوابات تسجيل الدخول الخاصة بالشركة الأصلية.

 

تحليل الأداء

يسلط النشاط التهديدي الملحوظ الضوء على جهة تهديد منظمة للغاية وقادرة على التكيف، تقوم بتنفيذ حملات هندسة اجتماعية واسعة النطاق للحصول على بيانات اعتماد مؤسسية صالحة ورموز MFA نشطة.

أظهرت الحملات الأخيرة أن مجموعة ShinyHunters تتصرف بشكل أقل كمجموعة برامج فدية تقليدية وأكثر كعملية ابتزاز تتعلق بالهوية والوصول إلى SaaS.

الاستطلاع قبل العمليات والتصيد الصوتي

في المراحل الأولية، من المرجح أن يعتمد الفاعلون بشكل كبير على الاستطلاع قبل العمليات، حيث يقومون بإجراء بحث مكثف عن الموظفين المستهدفين والإدارات الداخلية المحددة (مثل مكاتب مساعدة تكنولوجيا المعلومات أو العمليات القانونية) التي يختارون انتحال شخصياتها.

من خلال انتحال أرقام هواتف المنظمات المعروفة، يبني المتصلون ثقة فورية ويستغلون ميل الموظفين الطبيعي لمساعدة وظائف الدعم الداخلية.

علاوة على ذلك، لوحظ أن عناصر مجموعة ShinyHunters يتصرفون بعدوانية، ويستخدمون بشكل متكرر رسائل صوتية للمتابعة للضغط على الأهداف لحملها على الامتثال، ويوجهون المستخدمين لتجاوز ضوابط أمن الشركات من خلال الانتقال إلى روابط ضارة على الأجهزة الشخصية.

بمجرد أن يُدخل المستخدم بيانات اعتماده على موقع التصيّد الاحتيالي، يستخدم المهاجم أدوات التصيّد الاحتيالي عبر خادم وكيل عكسي لإرسالها إلى بوابة تسجيل الدخول الرسمية للشركة في الوقت الفعلي. ثم يُطلب من الضحية عبر الهاتف تقديم رمز المصادقة متعددة العوامل (MFA) النشط أو قبول إشعار فوري، مما يمنح المهاجم جلسة ويب نشطة.

توصيات

يقدم مركز تبادل المعلومات والتحليلات الصحية (Health-ISAC) هذه المعلومات لزيادة الوعي الظرفي وتشجيع المنظمات على منع الاستغلال الناجح وتعطيل أجهزتها الأمنية.

قم بحظر نطاقات المستوى الأعلى .claim و .claims داخل مؤسستك ما لم تكن بنية تحتية شرعية.

  • تدريب الموظفين وتوعيتهم: تنفيذ تدريب توعية أمنية موجه لتثقيف الموظفين حول أساليب الهندسة الاجتماعية الحديثة، مثل المكالمات الهاتفية الاحتيالية ورسائل البريد الصوتي المضللة، والتأكد من فهمهم لكيفية تحديد النطاقات المتشابهة والتحقق الآمن من اتصالات تكنولوجيا المعلومات الداخلية.
  • فرض التحقق من سياق الجهازيجب تقييد تطبيقات SaaS والبوابات الداخلية وواجهات برمجة التطبيقات (APIs) على الأجهزة التي تديرها الشركة والتي يتم التحقق منها عبر شهادات العميل أو فحوصات سلامة EDR أو ملفات تعريف MDM. إن التحقق من الهوية وحده غير كافٍ دون بنية دفاعية متعددة الطبقات.
  • الانتقال إلى المصادقة متعددة العوامل المقاومة للتصيد الاحتيالي: يفضل استخدام مفاتيح الأمان FIDO2/WebAuthn أو كلمات المرور لجميع المسؤولين والمجموعات عالية المخاطر، وتعطيل أو تقييد المصادقة متعددة العوامل عبر الرسائل النصية القصيرة/الصوتية وطرق النسخ الاحتياطي الضعيفة.
  • تعزيز أمن نظام الدعم الفني وإعادة ضبط سير العمل الخاص بالمصادقة متعددة العوامل: اشتراط التحقق الصارم من الهوية لإعادة تعيين المصادقة متعددة العوامل والتأكد من تدريب الموظفين على أن قسم تكنولوجيا المعلومات "لن يعيد تعيين المصادقة متعددة العوامل على المكالمات الواردة".
  • بنية تحتية مشابهة للمراقبة: تتبع تسجيلات النطاقات المشابهة، والنطاقات التي تم رصدها حديثًا (NODs)، والنطاقات الفرعية ذات العلامات التجارية التي تستهدف خدمات تسجيل الدخول الموحد للشركات.
  • إدارة الجلسةقم بتعيين مهلات الجلسات التي تدعم سير عمل المستخدم بشكل فعال مع ضمان الأمان، وقم بتقييد رؤية موفر الهوية (IdP) للمستخدمين غير المتوافقين.

يُقدّم مركز تبادل المعلومات والتحليلات الصحية (Health-ISAC) هذه المعلومات لمنع استغلال أنظمة الأمان الخاصة بك وتعطيلها. لمزيد من المعلومات، راجع ممارسات الأمن السيبراني في قطاع الصحة (HICP): إدارة التهديدات وحماية المرضى.

مراجع حسابات

ممارسات الأمن السيبراني في قطاع الصحة (HICP): إدارة التهديدات وحماية المرضى

تي إل بي وايت: الهندسة الاجتماعية واستهداف الهوية المرتبط بـ ShinyHunters

تأثير صائدي الوحوش اللامعة على القطاع الصحي واستراتيجيات التخفيف الموصى بها

تتبع توسع سرقة بيانات البرمجيات كخدمة (SaaS) التي تحمل علامة ShinyHunters التجارية

 

TLP:WHITE: مع مراعاة قواعد حقوق النشر القياسية، يجوز توزيع معلومات TLP:WHITE دون قيود.

مركز تبادل المعلومات والتحليلات الصحية (Health-ISAC) على راديو Health Stealth: التعاون بين مختلف القطاعات
عندما يستطيع الجميع اكتشاف أخطائك: أمن الأجهزة الطبية بعد الذكاء الاصطناعي