Ir ao contido principal

Alerta de ameaza urxente: campañas de vishing de ShinyHunters e suplantación de dominio

Boletín de ameazas: as campañas de vishing e a suplantación de dominio de ShinyHunters teñen como obxectivo activo o sector sanitario global.

As campañas de vishing e a suplantación de dominio de ShinyHunters están dirixidas activamente ao sector sanitario global

Boletíns de ameazas | TLP:WHITE | ID de alerta: 24113aee | 28 de agosto de 2026 | 03:37 EDT

 

A banda de cibercriminalidade ShinyHunters supón un perigo claro e presente para o sector sanitario mundial, xa que representa unha ameaza inmediata a través de campañas persistentes e altamente dirixidas de phishing por voz (vishing) que teñen como obxectivo enganar ao persoal das empresas para que exponga credenciais en dominios de suplantación de identidade maliciosos e de temática médica.

Este grupo está a centrarse activamente no sector sanitario e tivo éxito en varios casos recentes ao eludir a autenticación multifactor (MFA) para pasar rapidamente das plataformas de inicio de sesión único (SSO) ás aplicacións SaaS conectadas para a exfiltración e extorsión de datos a grande escala. Dado que estas campañas supoñen un grave risco de credenciais comprometidas e acceso non autorizado á infraestrutura corporativa, recomendamos encarecidamente a todos os membros de Health-ISAC que revisen e sigan estritamente de inmediato as recomendacións que se indican a continuación.

Durante as últimas dúas semanas, Health-ISAC emitiu advertencias a varias organizacións do sector sanitario tras observar campañas de vishing persistentes e moi específicas. Estas campañas intentan enganar aos usuarios para que expoñan as súas credenciais en sitios maliciosos que imitan páxinas de inicio de sesión lexítimas, facilitando así o acceso inicial non autorizado.

A parte máis identificable da operación é que os dominios se presentan con company-claims[.]com ou company[.] claims que suplantan a empresa no dominio.

Observacións recentes indican que os actores de ameazas, concretamente vinculados ao grupo de sextorsión ShinyHunter, están a contactar cos empregados directamente a través de dispositivos móbiles persoais mediante chamadas e correos de voz, así como a enviar correos electrónicos masivos aos usuarios desde múltiples contas aleatorias.

O recente rexistro de dominios de temática médica indica un alcance en expansión dirixido a operacións sanitarias e unidades de negocio especializadas, o que subliña a intención de establecer un acceso inicial persistente en diversos sectores empresariais. [Vexa o gráfico no PDF]

Para ShinyHunters, a plataforma SSO é o plano de control. Unha vez que unha identidade é comprometida, os actores cambian rapidamente do panel central do provedor de identidade (IdP) a plataformas SaaS conectadas (como Microsoft 365, SharePoint e Salesforce) para exfiltrar datos confidenciais e comunicacións internas. Este roubo de datos a escala da nube proporciona a vantaxe necesaria para as súas posteriores demandas de extorsión.

O patrón operativo principal identificado nestes rexistros de infraestrutura é o uso dos dominios recentemente rexistrados co prefixo do nome da empresa obxectivo, seguido de terminacións variables adaptadas a señuelos de phishing específicos.

Estas campañas supoñen un grave risco de credenciais comprometidas, elusión da autenticación multifactor (MFA) e acceso non autorizado posterior á infraestrutura corporativa e ás plataformas na nube/SaaS.

Health-ISAC enviou lotes de alertas dirixidas a varias organizacións despois de que os socios de intelixencia compartisen información sobre que dominios similares e de suplantación de identidade foran configurados mediante unha infraestrutura que suplantaba a empresa lexítima. Isto provocou que as credenciais dos usuarios se visen comprometidas en páxinas que se asemellan a portais de inicio de sesión lexítimos de empresas.

 

Análise

A actividade de ameazas observada destaca un actor de ameazas altamente organizado e adaptable que executa amplas campañas de enxeñería social para adquirir credenciais corporativas válidas e tokens MFA activos.

Campañas recentes demostraron que ShinyHunters se comporta menos como un grupo de ransomware tradicional e máis como unha operación de extorsión de acceso a identidade e SaaS.

Recoñecemento preoperacional e Vishing

Nas fases iniciais, é probable que os actores dependan en gran medida do recoñecemento preoperacional, realizando unha investigación exhaustiva sobre os empregados específicos e os departamentos internos específicos (como os servizos de asistencia informática ou as operacións legais) que deciden suplantar.

Ao falsificar números de teléfono coñecidos da organización, as persoas que chaman establecen confianza inmediata e aproveitan a inclinación natural do persoal a axudar nas funcións de apoio interno.

Ademais, observouse que os actores de ShinyHunters actúan de forma agresiva, utilizando con frecuencia correos de voz de seguimento para presionar os obxectivos para que cumpran as normas e instruíndo aos usuarios para que eludan os controis de seguridade corporativa navegando a ligazóns maliciosas en dispositivos persoais.

Unha vez que o usuario envía as súas credenciais no sitio de phishing, o actor de ameazas usa kits de phishing de proxy inverso para envialas ao portal de inicio de sesión corporativo lexítimo en tempo real. A continuación, solicítase á vítima por teléfono que proporcione o seu token MFA activo ou que acepte unha notificación push, o que lle outorga ao atacante unha sesión web activa.

Recomendacións

Health-ISAC proporciona esta información para aumentar o coñecemento situacional e animar as organizacións a evitar a explotación e a interrupción exitosas do seu aparato de seguridade.

Bloquea os dominios de nivel superior .claim e .claims dentro da túa organización a menos que sexan unha infraestrutura lexítima.

  • Formación e sensibilización dos empregadosImplementar formación específica en concienciación sobre a seguridade que eduque o persoal sobre as tácticas modernas de enxeñaría social, como as chamadas agresivas de vishing e os señuelos de correo de voz, garantindo que entendan como identificar dominios semellantes e verificar de forma segura as comunicacións internas de TI.
  • Aplicar a verificación do contexto do dispositivoRestrinxir as aplicacións SaaS, os portais internos e as API a dispositivos xestionados pola empresa e verificados mediante certificados de cliente, comprobacións de estado EDR ou perfís MDM. A verificación da identidade por si soa non é suficiente sen unha arquitectura de defensa en profundidade.
  • Transición a MFA resistente á suplantación de identidadePreferir as claves de seguranza ou contrasinais FIDO2/WebAuthn para todos os administradores e grupos de alto risco, e desactivar ou restrinxir estritamente a autenticación multifactor de SMS/voz e os métodos de reserva débiles.
  • Reforzar o servizo de asistencia e os fluxos de traballo de restablecemento de MFAExixir unha verificación estrita da identidade para os restablecementos de MFA e garantir que os empregados reciban formación para que o departamento de TI "non restableza o MFA nas chamadas entrantes".
  • Monitorizar infraestruturas semellantesRastrexar rexistros de dominios semellantes, dominios recentemente observados (NOD) e subdominios de marca dirixidos a servizos corporativos de inicio de sesión único.
  • Xestión de sesións: Define tempos de espera de sesión que admitan eficazmente os fluxos de traballo dos usuarios e garantan a seguridade, restrinxe a visibilidade do IdP para os que non cumpren as normas

Health-ISAC proporciona esta información para evitar a explotación e a interrupción exitosas do seu aparello de seguridade. Para obter máis información, consulte Prácticas de ciberseguridade da industria sanitaria (HICP): xestión de ameazas e protección de pacientes.

References

Prácticas de ciberseguridade da industria sanitaria (HICP): xestión de ameazas e protección dos pacientes

TLP WHITE: Enxeñaría social e segmentación de identidade ligadas a ShinyHunters

Impacto de Shiny Hunters no sector sanitario e estratexias de mitigación recomendadas

Seguimento da expansión do roubo de datos SaaS da marca ShinyHunters

 

TLP:WHITE: Suxeito ás normas estándar de dereitos de autor, a información de TLP:WHITE pode distribuírse sen restricións.

Saúde-ISAC na radio furtiva de saúde: colaboración interindustrial
Cando todo o mundo poida atopar os teus bichos: seguridade dos dispositivos médicos despois da IA