Rhybudd Bygythiad Brys: Ymgyrchoedd Vishio ShinyHunters a Dynwared Parth

Medi 3, 2026

Bwletin Bygythiad: Ymgyrchoedd Vishing ShinyHunters a Dynwared Parth yn Targedu'r Sector Iechyd Byd-eang yn Weithredol.

Ymgyrchoedd Vishio a Dynwared Parth ShinyHunters yn Targedu'r Sector Iechyd Byd-eang yn Weithredol

Bwletinau Bygythiadau | TLP:WHITE | ID Rhybudd: 24113aee | 28 Awst, 2026 | 03:37 PM EDT

Mae gang seiberdroseddu ShinyHunters yn peri perygl clir a chyfredol i'r sector iechyd byd-eang, gan gynrychioli bygythiad uniongyrchol trwy ymgyrchoedd gwe-rwydo llais (fisian) parhaus, wedi'u targedu'n fawr sy'n anelu at dwyllo personél menter i ddatgelu manylion mewn parthau dynwared maleisus, â thema feddygol.

Mae'r grŵp hwn yn targedu'r sector iechyd yn weithredol ac mae wedi bod yn llwyddiannus mewn sawl achos diweddar trwy osgoi dilysu aml-ffactor (MFA) i newid yn gyflym o lwyfannau mewngofnodi sengl (SSO) i gymwysiadau SaaS cysylltiedig ar gyfer hidlo a gormesu data ar raddfa fawr. Gan fod yr ymgyrchoedd hyn yn peri risg ddifrifol o gyfaddawdu mewngofnodion a mynediad heb awdurdod i seilwaith corfforaethol, rydym yn annog yn gryf holl aelodau Health-ISAC i adolygu ar unwaith a dilyn yr argymhellion a ddarperir isod yn llym.

Dros y pythefnos diwethaf, mae Health-ISAC wedi cyhoeddi rhybuddion i sawl sefydliad yn y sector iechyd ar ôl gweld ymgyrchoedd gwe-rwydo parhaus, wedi'u targedu'n fanwl. Mae'r ymgyrchoedd hyn yn ceisio twyllo defnyddwyr i ddatgelu eu manylion mewngofnodi ar wefannau maleisus sy'n dynwared tudalennau mewngofnodi cyfreithlon, a thrwy hynny hwyluso mynediad cychwynnol heb awdurdod.

Y rhan fwyaf adnabyddadwy o'r llawdriniaeth yw bod parthau'n cael eu codi gyda company-claims[.]com neu company[.]claims sy'n dynwared y cwmni yn y parth.

Mae arsylwadau diweddar yn dangos bod actorion bygythiad—sy'n gysylltiedig yn benodol â'r grŵp camdriniaeth rywiol ShinyHunter—yn cyrraedd gweithwyr yn uniongyrchol ar ddyfeisiau symudol personol trwy alwadau a negeseuon llais, yn ogystal ag anfon e-bost at ddefnyddwyr ar y cyd o gyfrifon ar hap lluosog.

Mae cofrestru diweddar parthau â thema feddygol yn dangos cwmpas ehangu sy'n targedu gweithrediadau iechyd ac unedau busnes arbenigol, gan danlinellu'r bwriad i sefydlu mynediad cychwynnol parhaus ar draws sectorau menter amrywiol. [Gweler y graff yn y PDF]

I ShinyHunters, y platfform SSO yw'r awyren reoli. Unwaith y bydd hunaniaeth wedi'i chyfaddawdu, mae'r actorion yn symud yn gyflym o ddangosfwrdd y darparwr hunaniaeth canolog (IdP) i lwyfannau SaaS cysylltiedig (megis Microsoft 365, SharePoint, a Salesforce) i allgludo data sensitif a chyfathrebu mewnol. Mae'r lladrad data hwn ar raddfa cwmwl yn darparu'r dylanwad angenrheidiol ar gyfer eu gofynion gorthrwm dilynol.

Y prif batrwm gweithredol a nodwyd ar draws y cofrestriadau seilwaith hyn yw'r defnydd o'r parthau sydd newydd eu cofrestru wedi'u rhagddodi ag enw'r cwmni targed, ac yna terfyniadau amrywiol wedi'u teilwra i deniadau gwe-rwydo penodol.

Mae'r ymgyrchoedd hyn yn peri risg ddifrifol o gymwysterau wedi'u peryglu, osgoi dilysu aml-ffactor (MFA), a mynediad heb awdurdod wedi hynny i seilwaith corfforaethol a llwyfannau cwmwl/SaaS.

Cyflwynodd Health-ISAC sypiau o Rybuddion Targedig i sawl sefydliad ar ôl i bartneriaid cudd-wybodaeth rannu mewnwelediadau bod parthau tebyg a pharthau dynwared wedi'u sefydlu gan ddefnyddio seilwaith sy'n dynwared y cwmni cyfreithlon. Roedd hyn wedi arwain at beryglu manylion mewngofnodi defnyddwyr ar dudalennau sy'n debyg i byrth mewngofnodi cwmnïau cyfreithlon.

Dadansoddi

Mae'r gweithgaredd bygythiad a welwyd yn tynnu sylw at actor bygythiad trefnus ac addasol iawn sy'n gweithredu ymgyrchoedd peirianneg gymdeithasol eang i gaffael cymwysterau corfforaethol dilys a Thocynnau MFA gweithredol.

Mae ymgyrchoedd diweddar wedi dangos bod ShinyHunters yn ymddwyn yn llai fel grŵp ransomware traddodiadol ac yn fwy fel gweithrediad cribddeiliaeth hunaniaeth a mynediad SaaS.

Rhagchwilio Cyn-Weithredol a Fisio

Yn y camau cychwynnol, mae'n debyg bod yr actorion yn dibynnu'n fawr ar ragchwilio cyn-weithredol, gan gynnal ymchwil helaeth ar weithwyr wedi'u targedu a'r adrannau mewnol penodol (megis desgiau cymorth TG neu weithrediadau cyfreithiol) maen nhw'n dewis eu dynwared.

Drwy ffugio rhifau ffôn sefydliadol hysbys, mae galwyr yn sefydlu ymddiriedaeth ar unwaith ac yn manteisio ar duedd naturiol staff i gynorthwyo swyddogaethau cymorth mewnol.

Ar ben hynny, mae actorion ShinyHunters wedi cael eu gweld yn ymddwyn yn ymosodol, gan ddefnyddio negeseuon llais dilynol yn aml i roi pwysau ar dargedau i gydymffurfio a chyfarwyddo defnyddwyr i osgoi rheolaethau diogelwch corfforaethol trwy lywio i ddolenni maleisus ar ddyfeisiau personol.

Unwaith y bydd y defnyddiwr yn cyflwyno ei gymwysterau ar y wefan gwe-rwydo, mae'r actor bygythiad yn defnyddio pecynnau gwe-rwydo dirprwyol gwrthdro i'w cyflwyno i'r porth mewngofnodi corfforaethol cyfreithlon mewn amser real. Yna gofynnir i'r dioddefwr dros y ffôn i ddarparu ei docyn MFA gweithredol neu i dderbyn hysbysiad gwthio, gan roi sesiwn we weithredol i'r ymosodwr.

Argymhellion

Mae Health-ISAC yn darparu'r wybodaeth hon i gynyddu ymwybyddiaeth o sefyllfaoedd ac annog sefydliadau i atal camfanteisio a tharfu llwyddiannus ar eu cyfarpar diogelwch.

Rhwystrwch y parthau lefel uchaf .claim a .claims o fewn eich sefydliad oni bai eu bod yn seilwaith cyfreithlon.

Hyfforddiant ac Ymwybyddiaeth GweithwyrGweithredu hyfforddiant ymwybyddiaeth diogelwch wedi'i dargedu sy'n addysgu staff ar dactegau peirianneg gymdeithasol modern, fel galwadau gwe-ryngwr ymosodol a deniadau negeseuon llais, gan sicrhau eu bod yn deall sut i adnabod parthau tebyg a gwirio cyfathrebiadau TG mewnol yn ddiogel.
Gorfodi Dilysu Cyd-destun DyfaisCyfyngu cymwysiadau SaaS, pyrth mewnol, ac APIs i ddyfeisiau a reolir gan y gorfforaeth sydd wedi'u gwirio trwy dystysgrifau cleientiaid, gwiriadau iechyd EDR, neu broffiliau MDM. Nid yw gwirio hunaniaeth yn unig yn ddigonol heb bensaernïaeth amddiffynnol fanwl.
Trosglwyddo i MFA sy'n Gwrthsefyll Gwe-rwydo: Ffafrio allweddi diogelwch neu allweddi mynediad FIDO2/WebAuthn ar gyfer pob gweinyddwr a grŵp risg uchel, ac analluogi neu gyfyngu'n llym ar MFA SMS/llais a dulliau wrth gefn gwan.
Desg Gymorth Harden ac Ailosod Llifau Gwaith MFA: Gofyn am ddilysu hunaniaeth llym ar gyfer ailosodiadau MFA a sicrhau bod gweithwyr wedi'u hyfforddi na fydd TG yn "ailosod MFA ar alwadau sy'n dod i mewn".
Monitro Seilwaith TebygTracio cofrestru parth tebyg, parthau newydd eu harsylwi (NODs), ac is-barthau brand sy'n targedu gwasanaethau mewngofnodi sengl corfforaethol.
Rheoli SesiwnGosod terfynau amser sesiwn sy'n cefnogi llif gwaith defnyddwyr yn effeithiol wrth sicrhau diogelwch, cyfyngu gwelededd IdP ar gyfer rhai nad ydynt yn cydymffurfio

Mae Health-ISAC yn darparu'r wybodaeth hon i atal camfanteisio a tharfu llwyddiannus ar eich cyfarpar diogelwch. Am ragor o wybodaeth, gweler Arferion Seiberddiogelwch y Diwydiant Iechyd (HICP): Rheoli Bygythiadau ac Amddiffyn Cleifion.