Vai al contenuto principale

Allerta urgente: campagne di vishing e furto di identità da parte di ShinyHunters

Bollettino sulle minacce: ShinyHunters, attraverso campagne di vishing e impersonificazione di dominio, prende di mira attivamente il settore sanitario globale.

Le campagne di vishing e di impersonificazione di dominio di ShinyHunters prendono di mira attivamente il settore sanitario globale.

Bollettini sulle minacce | TLP:WHITE | ID avviso: 24113aee | 28 agosto 2026 | 03:37 EDT

 

La banda di criminali informatici ShinyHunters rappresenta un pericolo concreto e imminente per il settore sanitario globale, costituendo una minaccia immediata attraverso persistenti campagne di phishing vocale (vishing) altamente mirate, volte a indurre il personale aziendale a rivelare le proprie credenziali su domini fraudolenti che si spacciano per professionisti del settore medico.

Questo gruppo sta prendendo di mira attivamente il settore sanitario e, in diversi casi recenti, è riuscito a eludere l'autenticazione a più fattori (MFA) per passare rapidamente dalle piattaforme di single sign-on (SSO) ad applicazioni SaaS connesse, al fine di esfiltrare dati su larga scala ed estorcere denaro. Poiché queste campagne comportano un grave rischio di compromissione delle credenziali e di accesso non autorizzato alle infrastrutture aziendali, raccomandiamo vivamente a tutti i membri di Health-ISAC di esaminare immediatamente e seguire scrupolosamente le raccomandazioni fornite di seguito.

Nelle ultime due settimane, Health-ISAC ha emesso avvisi a diverse organizzazioni del settore sanitario dopo aver osservato campagne di vishing persistenti e altamente mirate. Queste campagne tentano di indurre gli utenti a rivelare le proprie credenziali su siti dannosi che imitano pagine di accesso legittime, facilitando così l'accesso iniziale non autorizzato.

L'aspetto più riconoscibile dell'operazione è la creazione di domini con l'indirizzo company-claims[.]com o company[.]claims, che si spacciano per l'azienda proprietaria del dominio.

Osservazioni recenti indicano che gli autori delle minacce, in particolare quelli legati al gruppo di estorsione sessuale ShinyHunter, contattano direttamente i dipendenti sui loro dispositivi mobili personali tramite chiamate e messaggi vocali, oltre a inviare email in massa agli utenti da molteplici account casuali.

La recente registrazione di domini a tema medico indica un'espansione del raggio d'azione, che si rivolge ad aziende del settore sanitario e a unità aziendali specializzate, sottolineando l'intento di stabilire un accesso iniziale duraturo in diversi settori imprenditoriali. [Vedi grafico nel PDF]

Per ShinyHunters, la piattaforma SSO rappresenta il piano di controllo. Una volta compromessa un'identità, i malintenzionati si spostano rapidamente dalla dashboard del provider di identità centrale (IdP) alle piattaforme SaaS connesse (come Microsoft 365, SharePoint e Salesforce) per esfiltrare dati sensibili e comunicazioni interne. Questo furto di dati su scala cloud fornisce la leva necessaria per le successive richieste estorsive.

Il principale schema operativo individuato in queste registrazioni di infrastrutture è l'utilizzo di domini appena registrati con il nome dell'azienda bersaglio come prefisso, seguito da estensioni variabili adattate a specifiche esche di phishing.

Queste campagne comportano un grave rischio di compromissione delle credenziali, di elusione dell'autenticazione a più fattori (MFA) e di conseguente accesso non autorizzato all'infrastruttura aziendale e alle piattaforme cloud/SaaS.

Health-ISAC ha inviato una serie di avvisi mirati a diverse organizzazioni dopo che i partner dell'intelligence hanno condiviso informazioni secondo cui erano stati creati domini simili e di impersonificazione utilizzando un'infrastruttura che imitava l'azienda legittima. Ciò aveva portato alla compromissione delle credenziali degli utenti su pagine che somigliavano ai portali di accesso di aziende legittime.

 

Analisi

L'attività di minaccia osservata evidenzia un attore malevolo altamente organizzato e adattabile che mette in atto ampie campagne di ingegneria sociale per acquisire credenziali aziendali valide e token MFA attivi.

Le recenti campagne hanno dimostrato che ShinyHunters si comporta sempre meno come un tradizionale gruppo ransomware e sempre più come un'operazione di estorsione basata sull'accesso a identità e servizi SaaS.

Ricognizione pre-operativa e vishing

Nelle fasi iniziali, gli attori probabilmente si affidano molto alla ricognizione pre-operativa, conducendo ricerche approfondite sui dipendenti presi di mira e sui reparti interni specifici (come l'assistenza IT o l'ufficio legale) che scelgono di impersonare.

Falsificando numeri di telefono aziendali noti, i truffatori instaurano immediatamente un rapporto di fiducia e sfruttano la naturale propensione del personale ad aiutare le funzioni di supporto interne.

Inoltre, è stato osservato che gli autori di ShinyHunters agiscono in modo aggressivo, utilizzando frequentemente messaggi vocali di follow-up per fare pressione sulle vittime affinché si conformino e istruendo gli utenti a eludere i controlli di sicurezza aziendali accedendo a link dannosi sui propri dispositivi personali.

Una volta che l'utente ha inserito le proprie credenziali sul sito di phishing, il malintenzionato utilizza kit di phishing con proxy inverso per inoltrarle in tempo reale al portale di accesso aziendale legittimo. Alla vittima viene quindi richiesto telefonicamente di fornire il proprio token MFA attivo o di accettare una notifica push, garantendo così all'attaccante una sessione web attiva.

raccomandazioni

Health-ISAC fornisce queste informazioni per accrescere la consapevolezza della situazione e incoraggiare le organizzazioni a prevenire lo sfruttamento e l'interruzione dei propri sistemi di sicurezza.

Blocca i domini di primo livello .claim e .claims all'interno della tua organizzazione, a meno che non si tratti di infrastrutture legittime.

  • Formazione e sensibilizzazione dei dipendentiImplementare una formazione mirata sulla consapevolezza della sicurezza che istruisca il personale sulle moderne tattiche di ingegneria sociale, come le aggressive chiamate di vishing e le esche tramite messaggi vocali, assicurandosi che comprendano come identificare i domini simili e verificare in modo sicuro le comunicazioni IT interne.
  • Applica la verifica del contesto del dispositivoLimitare l'accesso alle applicazioni SaaS, ai portali interni e alle API ai dispositivi gestiti dall'azienda e verificati tramite certificati client, controlli di integrità EDR o profili MDM. La sola verifica dell'identità non è sufficiente senza un'architettura di difesa multilivello.
  • Passaggio all'autenticazione a più fattori resistente al phishing: Per tutti gli amministratori e i gruppi ad alto rischio, si consiglia di preferire le chiavi di sicurezza FIDO2/WebAuthn o le passkey, e di disabilitare o limitare rigorosamente l'autenticazione a più fattori tramite SMS/voce e i metodi di fallback deboli.
  • Rafforzare i flussi di lavoro di ripristino dell'assistenza clienti e dell'autenticazione a più fattori (MFA).Richiedere una rigorosa verifica dell'identità per il ripristino dell'autenticazione a più fattori (MFA) e assicurarsi che i dipendenti siano formati sul fatto che il reparto IT "non reimposterà l'MFA sulle chiamate in entrata".
  • Monitora l'infrastruttura simile: Monitora le registrazioni di domini simili, i domini di nuova osservazione (NOD) e i sottodomini brandizzati che prendono di mira i servizi di single sign-on aziendali.
  • Gestione della sessione: Imposta timeout di sessione che supportino efficacemente i flussi di lavoro degli utenti garantendo al contempo la sicurezza, limita la visibilità dell'IdP per i non conformi

Health-ISAC fornisce queste informazioni per prevenire lo sfruttamento e l'interruzione dei vostri sistemi di sicurezza. Per ulteriori informazioni, consultate le Pratiche di sicurezza informatica per il settore sanitario (HICP): Gestione delle minacce e protezione dei pazienti.

Referenze

Pratiche di sicurezza informatica nel settore sanitario (HICP): gestione delle minacce e protezione dei pazienti

TLP WHITE: Ingegneria sociale e targeting dell'identità collegati a ShinyHunters

Impatto di Shiny Hunters sul settore sanitario e strategie di mitigazione raccomandate

Monitoraggio dell'espansione del furto di dati SaaS a marchio ShinyHunters

 

TLP:WHITE: Nel rispetto delle norme standard sul diritto d'autore, le informazioni TLP:WHITE possono essere distribuite senza restrizioni.

Health-ISAC su Health Stealth Radio: collaborazione intersettoriale
Quando tutti possono trovare i tuoi bug: la sicurezza dei dispositivi medici dopo l'intelligenza artificiale