Přejít k hlavnímu obsahu

Naléhavé upozornění na hrozbu: ShinyHunters útočí na vishingové kampaně a vydává se za doménu

Bulletin o hrozbách: ShinyHunters aktivně útočí na vishingové kampaně a vydává se za doménu, které cílí na globální zdravotnictví.

ShinyHunters aktivně cílí na vishingové kampaně a vydávání se za doménu v globálním zdravotnictví.

Bulletiny hrozeb | TLP:WHITE | ID upozornění: 24113aee | 28. srpna 2026 | 03:37 EDT

 

Kyberzločinecký gang ShinyHunters představuje jasné a bezprostřední nebezpečí pro globální zdravotnictví. Reprezentuje bezprostřední hrozbu prostřednictvím přetrvávajících, vysoce cílených hlasových phishingových (vishingových) kampaní, jejichž cílem je oklamat firemní zaměstnance a vyzradit jim přihlašovací údaje na škodlivých doménách s lékařskou tematikou.

Tato skupina aktivně cílí na sektor zdravotnictví a v několika nedávných případech uspěla obcházením vícefaktorového ověřování (MFA) a rychlým přechodem z platforem jednotného přihlašování (SSO) na propojené aplikace SaaS pro rozsáhlé odcizení a vydírání dat. Vzhledem k tomu, že tyto kampaně představují vážné riziko ohrožení přihlašovacích údajů a neoprávněného přístupu k podnikové infrastruktuře, důrazně doporučujeme všem členům Health-ISAC, aby si neprodleně přečetli a důsledně dodržovali níže uvedená doporučení.

Během posledních dvou týdnů vydala organizace Health-ISAC varování několika organizacím ve zdravotnictví poté, co zaznamenala přetrvávající, vysoce cílené vishingové kampaně. Tyto kampaně se snaží oklamat uživatele, aby odhalili své přihlašovací údaje na škodlivých stránkách, které napodobují legitimní přihlašovací stránky, a tím usnadňují neoprávněný první přístup.

Nejvýraznější částí operace je, že domény jsou registrovány pomocí company-claims[.]com nebo company[.]claims, které se vydávají za společnost v doméně.

Nedávná pozorování naznačují, že útočníci – konkrétně ti, kteří jsou spojeni se skupinou ShinyHunter zabývající se sexuálním vydíráním – oslovují zaměstnance přímo na osobních mobilních zařízeních prostřednictvím hovorů a hlasových zpráv a také hromadně rozesílají e-maily uživatelům z několika náhodných účtů.

Nedávná registrace domén s lékařskou tematikou naznačuje rozšiřující se rozsah zaměřený na zdravotnické provozy a specializované obchodní jednotky, což podtrhuje záměr zajistit trvalý počáteční přístup napříč různými podnikovými sektory. [Viz graf v PDF]

Pro ShinyHunters je platforma SSO řídicí rovinou. Jakmile je identita ohrožena, aktéři se rychle přesunou z centrálního dashboardu poskytovatele identity (IdP) na propojené platformy SaaS (jako je Microsoft 365, SharePoint a Salesforce), aby získali citlivá data a interní komunikaci. Tato krádež dat v cloudovém měřítku poskytuje nezbytnou páku pro jejich následné vydírání.

Primárním operačním vzorcem identifikovaným u těchto registrací infrastruktury je používání nově registrovaných domén s předponou názvu cílové společnosti, následovanou variabilními koncovkami přizpůsobenými specifickým phishingovým návnadám.

Tyto kampaně představují vážné riziko ohrožení přihlašovacích údajů, obcházení vícefaktorového ověřování (MFA) a následného neoprávněného přístupu k podnikové infrastruktuře a cloudovým/SaaS platformám.

Společnost Health-ISAC doručila několika organizacím dávky cílených upozornění poté, co se partneři v oblasti zpravodajských služeb podělili o poznatky, že domény s podobnými a zosobňujícími se doménami byly nastaveny pomocí infrastruktury, která se vydává za legitimní společnost. To vedlo k tomu, že přihlašovací údaje uživatelů byly ohroženy na stránkách, které se podobaly přihlašovacím portálům legitimních společností.

 

Analýza

Pozorovaná aktivita hrozeb zdůrazňuje vysoce organizovaného, ​​adaptivního aktéra hrozby, který provádí rozsáhlé kampaně sociálního inženýrství s cílem získat platné firemní přihlašovací údaje a aktivní tokeny MFA.

Nedávné kampaně ukázaly, že ShinyHunters se chová méně jako tradiční ransomwarová skupina a spíše jako vydírací operace zaměřená na vydírání identity a přístupu k SaaS.

Předoperační průzkum a Vishing

V počátečních fázích se aktéři pravděpodobně do značné míry spoléhají na předoperační průzkum, provádějí rozsáhlý výzkum cílových zaměstnanců a konkrétních interních oddělení (jako jsou IT helpdesky nebo právní oddělení), za která se rozhodnou vydávat.

Falšováním známých telefonních čísel organizace si volající budují okamžitou důvěru a zneužívají přirozenou tendenci zaměstnanců pomáhat interním podpůrným funkcím.

Dále bylo pozorováno, že aktéři ShinyHunters se chovají agresivně, často využívají následné hlasové zprávy k vynucení souladu s předpisy a instruují uživatele, aby obešli firemní bezpečnostní kontroly přechodem na škodlivé odkazy na osobních zařízeních.

Jakmile uživatel odešle své přihlašovací údaje na phishingovém webu, útočník použije phishingové sady s reverzní proxy k jejich odeslání na legitimní firemní přihlašovací portál v reálném čase. Oběť je poté telefonicky vyzvána k zadání svého aktivního tokenu MFA nebo k přijetí push notifikace, čímž útočníkovi poskytne aktivní webovou relaci.

Doporučení

Health-ISAC poskytuje tyto informace s cílem zvýšit situační povědomí a povzbudit organizace k prevenci úspěšného zneužití a narušení jejich bezpečnostního aparátu.

Blokujte domény nejvyšší úrovně .claim a .claims ve vaší organizaci, pokud se nejedná o legitimní infrastrukturu.

  • Školení a povědomí zaměstnancůZavést cílené školení v oblasti bezpečnosti, které vzdělává zaměstnance v moderních taktikách sociálního inženýrství, jako jsou agresivní vishingové hovory a hlasové lákadla, a zajistit, aby rozuměli tomu, jak identifikovat domény, které se zdají být podobné, a bezpečně ověřovat interní IT komunikaci.
  • Vynutit ověření kontextu zařízeníOmezte aplikace SaaS, interní portály a API na zařízení spravovaná společností, která jsou ověřena pomocí klientských certifikátů, kontrol stavu EDR nebo profilů MDM. Samotné ověření identity nestačí bez architektury ochrany do hloubky.
  • Přechod na vícefaktorovou autentizaci odolnou vůči phishinguPro všechny administrátory a vysoce rizikové skupiny upřednostňovat bezpečnostní klíče nebo přístupové klíče FIDO2/WebAuthn a zakázat nebo přísně omezit SMS/hlasovou MFA a slabé záložní metody.
  • Pracovní postupy pro obnovení helpdesku a MFAPožadovat přísné ověřování identity pro resetování MFA a zajistit, aby byli zaměstnanci proškoleni, že IT oddělení „nebude resetovat MFA při příchozích hovorech“.
  • Monitorování podobné infrastrukturySledujte registrace podobných domén, nově pozorovaných domén (NOD) a značkových subdomén cílících na firemní služby jednotného přihlášení.
  • Řízení relacíNastavte časové limity relací, které efektivně podporují pracovní postupy uživatelů a zároveň zajišťují bezpečnost, omezte viditelnost IdP pro nedodržující předpisy.

Health-ISAC poskytuje tyto informace, aby zabránil úspěšnému zneužití a narušení vašeho bezpečnostního zařízení. Více informací naleznete v dokumentu Postupy kybernetické bezpečnosti ve zdravotnictví (HICP): Zvládání hrozeb a ochrana pacientů.

Reference

Kybernetické bezpečnostní postupy ve zdravotnictví (HICP): Řízení hrozeb a ochrana pacientů

TLP WHITE: Sociální inženýrství a cílení identity propojené s ShinyHunters

Dopad Shiny Hunters na zdravotnictví a doporučené strategie zmírňování

Sledování expanze krádeží dat SaaS pod značkou ShinyHunters

 

TLP:WHITE: V souladu se standardními pravidly autorských práv mohou být informace TLP:WHITE šířeny bez omezení.

Health-ISAC v rádiu Health Stealth: Spolupráce napříč odvětvími
Až každý najde vaše chyby: Zabezpečení zdravotnických prostředků po umělé inteligenci