Pääsisältö

Kiireellinen uhkahälytys: ShinyHunters-visingkampanjat ja verkkotunnusten henkilöllisyyden anastus

Uhkatiedote: ShinyHuntersin visiokampanjat ja verkkotunnusten henkilöllisyyden anastus kohdistuvat aktiivisesti maailmanlaajuiseen terveydenhuoltoalaan.

ShinyHuntersin visiointikampanjat ja verkkotunnusten henkilöllisyyden väärinkäyttö kohdistuvat aktiivisesti globaaliin terveyssektoriin

Uhkatiedotteet | TLP:WHITE | HÄLYTYS-ID: 24113aee | 28. elokuuta 2026 | klo 15.37 EDT

 

ShinyHunters-kyberrikollisjengi aiheuttaa selkeän ja välittömän uhan maailmanlaajuiselle terveydenhuoltoalalle. Se edustaa välitöntä uhkaa jatkuvien, tarkasti kohdennettujen äänihuijauskampanjoiden kautta, joiden tavoitteena on huijata yritysten henkilöstöä paljastamaan tunnistetietoja haitallisilla, lääketieteellisiin aiheisiin liittyvillä henkilöllisyyden kopiointialustoilla.

Tämä ryhmä kohdistaa aktiivisesti toimintansa terveydenhuoltoalaan ja on onnistunut useissa viimeaikaisissa tapauksissa ohittamalla monivaiheisen todennuksen (MFA) siirtyäkseen nopeasti kertakirjautumisalustoista (SSO) yhdistettyihin SaaS-sovelluksiin laajamittaista tiedon vuotamista ja kiristystä varten. Koska nämä kampanjat aiheuttavat vakavan riskin tunnistetietojen vaarantumisesta ja luvattomasta pääsystä yrityksen infrastruktuuriin, kehotamme kaikkia Health-ISAC:n jäseniä välittömästi tarkistamaan alla olevat suositukset ja noudattamaan niitä tarkasti.

Kahden viime viikon aikana Health-ISAC on antanut varoituksia useille terveydenhuoltoalan organisaatioille havaittuaan jatkuvia, tarkasti kohdennettuja huijauskampanjoita. Näissä kampanjoissa yritetään huijata käyttäjiä paljastamaan tunnistetietonsa haitallisilla sivustoilla, jotka matkivat laillisia kirjautumissivuja ja helpottavat siten luvatonta alkukäyttöä.

Toiminnan tunnistettavin osa on, että verkkotunnuksia rekisteröidään company-claims[.]com- tai company-claims-päätteillä, jotka tekeytyvät verkkotunnuksessa olevan yrityksen nimellä.

Viimeaikaiset havainnot osoittavat, että uhkatoimijat – erityisesti ShinyHunter-sekstortioryhmään liittyvät – tavoittavat työntekijöitä suoraan henkilökohtaisilla mobiililaitteilla puheluiden ja vastaajaviestien kautta sekä lähettävät käyttäjille massoittain sähköpostia useilta satunnaisilta tileiltä.

Lääketieteellisten verkkotunnusten äskettäinen rekisteröinti viittaa laajenevaan soveltamisalaan, joka kohdistuu terveydenhuollon toimintoihin ja erikoistuneisiin liiketoimintayksiköihin, mikä korostaa pyrkimystä luoda pysyvä alkukäyttöoikeus eri yrityssektoreille. [Katso kaavio PDF-tiedostossa]

ShinyHuntersille kertakirjautumisalusta on hallintataso. Kun identiteetti on vaarantunut, toimijat siirtyvät nopeasti keskitetystä identiteetintarjoajan (IdP) kojelaudasta yhdistettyihin SaaS-alustoihin (kuten Microsoft 365, SharePoint ja Salesforce) ulosmitatakseen arkaluonteisia tietoja ja sisäistä viestintää. Tämä pilvitasolla tapahtuva tietovarkaus tarjoaa tarvittavan vipuvarkauden heidän myöhemmille kiristysvaatimuksilleen.

Näissä infrastruktuurirekisteröinneissä havaittu ensisijainen toimintamalli on uusien rekisteröityjen verkkotunnusten käyttö, joiden etuliitteenä on kohdeyrityksen nimi ja sen jälkeen vaihtelevat päätteet, jotka on räätälöity tiettyihin tietojenkalasteluhyökkäyksiin.

Nämä kampanjat aiheuttavat vakavan riskin tunnistetietojen vaarantumiselle, monivaiheisen todennuksen (MFA) ohitukselle ja sitä kautta luvattomalle käytölle yrityksen infrastruktuuriin ja pilvi-/SaaS-alustoille.

Health-ISAC toimitti kohdennettuja hälytyksiä useille organisaatioille sen jälkeen, kun tiedustelukumppanit jakoivat havaintoja, joiden mukaan kaksois- ja henkilöllisyyden jäljittelyyn tarkoitetut verkkotunnukset oli luotu käyttämällä infrastruktuuria, joka tekeytyy lailliseksi yritykseksi. Tämä oli johtanut siihen, että käyttäjien tunnistetiedot olivat vaarantuneet sivuilla, jotka muistuttivat laillisten yritysten kirjautumisportaaleja.

 

analyysi

Havaittu uhkatoiminta korostaa erittäin organisoitua ja mukautuvaa uhkatoimijaa, joka suorittaa laajoja sosiaalisen manipuloinnin kampanjoita hankkiakseen voimassa olevia yritystunnuksia ja aktiivisia MFA-tokeneja.

Viimeaikaiset kampanjat ovat osoittaneet, että ShinyHunters käyttäytyy vähemmän kuin perinteinen kiristysohjelmaryhmä ja enemmän kuin identiteetti- ja SaaS-käyttöoikeuksien kiristysoperaatio.

Operatiivista tiedustelua ja näkemistä edeltävä tiedustelu

Alkuvaiheissa toimijat todennäköisesti luottavat vahvasti operatiivista tiedustelua edeltävään tiedusteluun ja tekevät laajoja tutkimuksia kohdennetuista työntekijöistä ja tietyistä sisäisistä osastoista (kuten IT-tukipalveluista tai lakiasioista), joita he päättävät esiintyä.

Huijaamalla tunnettuja organisaation puhelinnumeroita soittajat rakentavat välittömän luottamuksen ja hyödyntävät henkilöstön luonnollista taipumusta auttaa sisäisiä tukitoimintoja.

Lisäksi ShinyHunters-toimijoiden on havaittu toimivan aggressiivisesti. He käyttävät usein seurantaviestejä painostaakseen kohteita noudattamaan sääntöjä ja ohjeistaakseen käyttäjiä ohittamaan yritysten tietoturvakontrollit siirtymällä haitallisiin linkkeihin henkilökohtaisilla laitteillaan.

Kun käyttäjä on antanut tunnistetietonsa tietojenkalastelusivustolla, hyökkääjä käyttää käänteisen välityspalvelimen tietojenkalastelupaketteja lähettääkseen ne lailliselle yrityksen kirjautumisportaalille reaaliajassa. Uhria pyydetään sitten puhelimitse antamaan aktiivinen MFA-tunnuksensa tai hyväksymään push-ilmoitus, mikä myöntää hyökkääjälle aktiivisen verkkoistunnon.

Suositukset

Health-ISAC tarjoaa näitä tietoja tilannekuvan lisäämiseksi ja kannustaakseen organisaatioita estämään turvallisuuslaitteistojensa onnistuneen hyväksikäytön ja häirinnän.

Estä organisaatiosi .claim- ja .claims-päätteiset ylätason verkkotunnukset, elleivät ne ole laillista infrastruktuuria.

  • Työntekijöiden koulutus ja tietoisuusToteuta kohdennettua tietoturvakoulutusta, jossa henkilöstölle opetetaan nykyaikaisia ​​sosiaalisen manipuloinnin taktiikoita, kuten aggressiivisia visionäärisiä puheluita ja vastaajaan houkuttelevia viestejä, varmistaen, että he ymmärtävät, miten tunnistaa samankaltaiset verkkotunnukset ja varmistaa turvallisesti sisäinen IT-viestintä.
  • Pakota laitekontekstin vahvistusRajoita SaaS-sovellukset, sisäiset portaalit ja API:t yrityksen hallinnoimiin laitteisiin, jotka on varmennettu asiakassertifikaateilla, EDR-terveystarkistuksilla tai MDM-profiileilla. Pelkkä henkilöllisyyden varmentaminen ei riitä ilman syvälliseksi rakennettua puolustusarkkitehtuuria.
  • Siirtyminen tietojenkalastelulta suojattuun MFA:hanSuosi FIDO2/WebAuthn-suojausavaimia tai -salasanoja kaikille järjestelmänvalvojille ja riskiryhmille ja poista tekstiviesti-/ääni-MFA ja heikot varamenetelmät käytöstä tai rajoita niitä tiukasti.
  • Harden-tukipalvelun ja MFA:n nollaustyönkulutVaadi tiukkaa henkilöllisyyden varmennusta monitaikaisen autentikoinnin nollauksia varten ja varmista, että työntekijät on koulutettu varmistamaan, että IT-osasto "ei nollaa monitaikaista autentikointia saapuvien puheluiden yhteydessä".
  • Seuraa kaksoisolentoinfrastruktuuriaSeuraa kaksoistunnusten rekisteröintejä, uusia havaittuja verkkotunnuksia (NOD) ja brändättyjä aliverkkotunnuksia, jotka on suunnattu yritysten kertakirjautumispalveluihin.
  • Istunnonhallinta: Aseta istuntojen aikakatkaisut, jotka tukevat tehokkaasti käyttäjien työnkulkuja ja varmistavat samalla turvallisuuden, rajoita IdP-näkyvyyttä vaatimustenvastaisille

Health-ISAC tarjoaa näitä tietoja estääkseen tietoturvalaitteistosi onnistuneen hyväksikäytön ja häirinnän. Lisätietoja on artikkelissa Health Industry Cybersecurity Practices (HICP): Managing Threats and Protecting Patients.

Viitteet

Terveysalan kyberturvallisuuskäytännöt (HICP): Uhkien hallinta ja potilaiden suojeleminen

TLP WHITE: ShinyHuntersiin liittyvä sosiaalinen manipulointi ja identiteettiin kohdistuva hyökkäys

Shiny Hunterin vaikutus terveysalaan ja suositellut lieventämisstrategiat

ShinyHunters-brändättyjen SaaS-tietovarkauksien laajentumisen seuranta

 

TLP:WHITE: TLP:WHITE-tietoja saa jakaa rajoituksetta, mikäli tekijänoikeussäännöt sitä edellyttävät.

Health-ISAC Health Stealth Radiossa: toimialojen välinen yhteistyö
Kun kaikki voivat löytää virheesi: Lääkinnällisten laitteiden turvallisuus tekoälyn jälkeen