Viðvörun um áríðandi ógn: ShinyHunters netöryggisherferðir og lénsupptökur

September 3, 2026

Ógnunartilkynning: Netherferðir ShinyHunters og lénsþjófnaður sem beinast virkt að alþjóðlegum heilbrigðisgeiranum.

ShinyHunters beitir netþjónaherferðum og lénsþjófnaði sem beinist virkt að alþjóðlegum heilbrigðisgeiranum.

Ógnarábendingar | TLP:WHITE | Viðvörunarnúmer: 24113aee | 28. ágúst 2026 | 03:37 EDT

Netglæpagengi ShinyHunters stafar augljós og yfirvofandi ógn fyrir alþjóðlega heilbrigðisgeirann. Það er yfirvofandi ógn í gegnum viðvarandi og mjög markvissar raddveiðar (voice-phishing) herferðir sem miða að því að blekkja starfsfólk fyrirtækja til að afhjúpa innskráningarupplýsingar á illgjörnum lénum þar sem fólk er að þykjast vera persónuupplýsingar.

Þessi hópur beinist virkt að heilbrigðisgeiranum og hefur í nokkrum nýlegum tilvikum tekist vel með því að komast framhjá fjölþátta auðkenningu (MFA) til að færa sig hratt frá einskráningarpöllum (SSO) yfir í tengd SaaS forrit fyrir stórfellda gagnasöfnun og fjárkúgun. Þar sem þessar herferðir skapa alvarlega hættu á skertum innskráningarupplýsingum og óheimilum aðgangi að innviðum fyrirtækisins, hvetjum við alla meðlimi Health-ISAC eindregið til að fara tafarlaust yfir og fylgja nákvæmlega ráðleggingunum hér að neðan.

Undanfarnar tvær vikur hefur Health-ISAC gefið út viðvaranir til nokkurra stofnana í heilbrigðisgeiranum eftir að hafa orðið vitni að viðvarandi og mjög markvissum „vish“-herferðum. Þessar herferðir reyna að blekkja notendur til að afhjúpa innskráningarupplýsingar sínar á illgjarnum síðum sem herma eftir lögmætum innskráningarsíðum og auðvelda þannig óheimilan aðgang í upphafi.

Það sem greinilegast einkennir aðgerðina er að lén eru sett upp með company-claims[.]com eða company[.]claims sem þykjast vera fyrirtækið í léninu.

Nýlegar athuganir benda til þess að ógnaraðilar — sérstaklega tengdir kynferðisbrotahópnum ShinyHunter — nái beint til starfsmanna í gegnum farsíma í gegnum símtöl og talhólf, sem og að senda notendum fjöldatölvupóst frá mörgum handahófskenndum reikningum.

Nýleg skráning léna með læknisfræðilegt þema gefur til kynna vaxandi umfang sem beinist að heilbrigðisstarfsemi og sérhæfðum viðskiptaeiningum, sem undirstrikar áformin um að koma á varanlegum upphaflegum aðgangi yfir fjölbreytta atvinnugreinar. [Sjá graf í PDF skjali]

Fyrir ShinyHunters er SSO-vettvangurinn stjórnunarvettvangurinn. Þegar auðkenni er í hættu færast aðilar hratt frá mælaborði auðkennisveitunnar (IdP) yfir í tengda SaaS-vettvanga (eins og Microsoft 365, SharePoint og Salesforce) til að ná í viðkvæm gögn og innri samskipti. Þessi gagnaþjófnaður á skýjaskala veitir nauðsynlega stöðu fyrir síðari fjárkúgunarkröfur þeirra.

Helsta rekstrarmynstrið sem greinist í þessum skráningum innviða er notkun nýskráðra léna með forskeytinu nafni markfyrirtækisins, og síðan breytilegum endingum sem eru sniðnar að sérstökum phishing-beitingar.

Þessar herferðir skapa alvarlega hættu á skertum innskráningarupplýsingum, framhjágangi fjölþátta auðkenningar (MFA) og síðari óheimilum aðgangi að fyrirtækjainnviðum og skýja-/SaaS-pöllum.

Health-ISAC sendi fjölda markvissra viðvarana til nokkurra fyrirtækja eftir að samstarfsaðilar upplýsingaöflunar miðluðu innsýn í að svipuð lén og lén sem herma eftir persónuupplýsingum voru sett upp með innviðum sem herma eftir lögmætu fyrirtæki. Þetta leiddi til þess að notendaupplýsingar þeirra voru brotnar á síðum sem líkjast innskráningargáttum lögmætra fyrirtækja.

Greining

Ógnarvirknin sem mælst hefur undirstrikar mjög skipulagðan og aðlögunarhæfan ógnunaraðila sem framkvæmir víðtækar félagsverkfræðiherferðir til að afla sér gildra fyrirtækjaupplýsinga og virkra MFA-tákna.

Nýlegar herferðir hafa sýnt að ShinyHunters hegðar sér minna eins og hefðbundinn ransomware-hópur og frekar eins og fjárkúgunaraðgerð sem byggir á auðkenni og SaaS-aðgangi.

Undirbúningskönnun og Vísingar

Í upphafsstigum reiða aðilarnir sig líklega mjög á njósnir fyrir aðgerð, framkvæma ítarlegar rannsóknir á tilteknum starfsmönnum og þeim tilteknu innri deildum (eins og hjálparborðum upplýsingatækni eða lögfræðideildum) sem þeir velja að herma eftir.

Með því að falsa þekkt símanúmer fyrirtækisins skapa þeir sem hringja strax traust og nýta sér eðlilega tilhneigingu starfsfólks til að aðstoða innri stuðningsdeildir.

Þar að auki hefur verið tekið eftir því að aðilar í ShinyHunters hafa sýnt árásargirni, notað talhólfsskilaboð í kjölfarið til að þrýsta á skotmörk til að fara eftir reglum og fyrirskipað notendum að komast framhjá öryggisráðstöfunum fyrirtækja með því að fara á illgjarn tengla á persónulegum tækjum.

Þegar notandinn hefur sent inn innskráningarupplýsingar sínar á vefveiðisíðunni notar ógnunaraðilinn öfug milligönguforrit til að senda þær inn á lögmæta innskráningargátt fyrirtækisins í rauntíma. Fórnarlambið er síðan beðið í síma um að gefa upp virkt MFA-tákn eða samþykkja tilkynningu, sem veitir árásarmanninum virka veflotu.

Tillögur

Health-ISAC veitir þessar upplýsingar til að auka aðstæðuvitund og hvetja stofnanir til að koma í veg fyrir farsæla misnotkun og röskun á öryggisbúnaði sínum.

Lokaðu fyrir .claim og .claims efsta stigs lénin innan fyrirtækisins nema þau séu lögmæt innviði.

Þjálfun og vitund starfsmannaInnleiða markvissa öryggisþjálfun sem fræðir starfsfólk um nútíma félagsverkfræðiaðferðir, svo sem árásargjarnar „vishing“-hringingar og talhólfslokkanir, og tryggja að það skilji hvernig á að bera kennsl á svipuð lén og staðfesta innri samskipti upplýsingatækni á öruggan hátt.
Framfylgja staðfestingu á samhengi tækjaTakmarkið SaaS forrit, innri gáttir og API við tæki sem fyrirtækið stýrir og eru staðfest með viðskiptavinavottorðum, EDR heilsufarsathugunum eða MDM prófílum. Auðkenning ein og sér er ekki nægjanleg án ítarlegrar varnararkitektúrs.
Skipti yfir í MFA gegn netveiðumForgangsraða skal öryggislyklum eða aðgangslyklum fyrir FIDO2/WebAuthn fyrir alla stjórnendur og áhættuhópa og slökkva á eða takmarka strangar SMS/raddsendingar með millifærslum og veikum varaaðferðum.
Endurstilling vinnuflæðis fyrir hjálparborð og utanríkisráðuneytiKrefjast strangrar auðkenningar fyrir endurstillingar á MFA og tryggja að starfsmenn séu þjálfaðir í því að upplýsingatæknideild muni „ekki endurstilla MFA í innhringingum“.
Fylgjast með svipuðum innviðumRekja skráningar svipuð léna, nýlega greind lén (NOD) og vörumerkt undirlén sem miða á einskráningarþjónustu fyrirtækja.
FundarstjórnunStilltu tímamörk fyrir lotur sem styðja á áhrifaríkan hátt við vinnuflæði notenda og tryggja öryggi, takmarkaðu sýnileika auðkennisþega fyrir þá sem eru ekki í samræmi við reglur

Health-ISAC veitir þessar upplýsingar til að koma í veg fyrir misnotkun og truflun á öryggisbúnaði þínum. Nánari upplýsingar er að finna í Cybersecurity Practices (HICP): Managing Threats and Protecting Patients (Heilbrigðisiðnaðurinn í netöryggi): Að stjórna ógnum og vernda sjúklinga).