緊急脅威警告：ShinyHuntersによるフィッシング詐欺キャンペーンとドメインなりすまし

2026 年 9 月 3 日

脅威速報：ShinyHuntersによるフィッシング詐欺キャンペーンとドメインなりすましが、世界の医療分野を積極的に標的にしています。

ShinyHuntersによるフィッシング詐欺キャンペーンとドメインなりすましが、世界の医療分野を積極的に標的にしている。

脅威速報 | TLP:WHITE | アラートID: 24113aee | 2026年8月28日 | 午後3時37分（米国東部時間）

ShinyHuntersというサイバー犯罪集団は、世界の医療分野にとって明白かつ差し迫った脅威であり、悪意のある医療関連のなりすましドメイン上で企業の従業員を騙して認証情報を漏洩させることを目的とした、執拗で高度に標的を絞った音声フィッシング（ビッシング）キャンペーンを通じて、差し迫った脅威となっている。

このグループは医療分野を積極的に標的にしており、最近の複数の事例では、多要素認証（MFA）を回避し、シングルサインオン（SSO）プラットフォームから接続されたSaaSアプリケーションへと迅速に移行することで、大規模なデータ漏洩や恐喝に成功しています。これらの攻撃は、認証情報の漏洩や企業インフラへの不正アクセスといった深刻なリスクをもたらすため、Health-ISACの全メンバーに対し、下記の推奨事項を直ちに確認し、厳守することを強く推奨します。

過去2週間にわたり、Health-ISACは、執拗かつ高度に標的を絞ったフィッシング詐欺キャンペーンを確認したことを受け、複数の医療機関に対し警告を発しました。これらのキャンペーンは、正規のログインページを模倣した悪意のあるサイトでユーザーを騙し、認証情報を入力させることで、不正な初期アクセスを容易にすることを目的としています。

この手口で最も特徴的なのは、ドメイン名にcompany-claims[.]comやcompany[.]claimsといった文字列を含め、そのドメイン名で会社になりすましている点です。

最近の観測によると、脅威アクター（特にShinyHunterというセクストーショングループに関係する者）は、電話やボイスメールを通じて従業員の個人用モバイル端末に直接接触したり、複数の無作為なアカウントからユーザーに一斉にメールを送信したりしている。

最近の医療関連ドメインの登録は、医療業務や専門事業部門をターゲットとした事業範囲の拡大を示しており、多様な企業セクターにわたって持続的な初期アクセスを確立しようとする意図を裏付けている。[PDF内のグラフを参照]

ShinyHuntersにとって、SSOプラットフォームは制御プレーンです。IDが侵害されると、攻撃者は中央のIDプロバイダー（IdP）ダッシュボードから、Microsoft 365、SharePoint、Salesforceなどの接続されたSaaSプラットフォームへと迅速に移行し、機密データや社内通信を不正に持ち出します。クラウド規模でのこのデータ窃盗は、その後の恐喝要求に必要な交渉材料となります。

これらのインフラ登録において確認された主な運用パターンは、新規登録されたドメインに標的企業の名前を接頭辞として付け、その後に特定のフィッシング詐欺の手口に合わせた可変の末尾を付けるというものである。

これらの攻撃キャンペーンは、認証情報の漏洩、多要素認証（MFA）の回避、そしてそれに続く企業インフラやクラウド／SaaSプラットフォームへの不正アクセスといった深刻なリスクをもたらします。

Health-ISACは、情報パートナーから、正規企業になりすますインフラを利用して類似ドメインやなりすましドメインが構築されているとの情報が寄せられたことを受け、複数の組織にターゲットアラートを配信しました。これにより、正規企業のログインポータルに酷似したページでユーザーの認証情報が漏洩する事態が発生していました。

分析

観測された脅威活動は、高度に組織化され、適応力の高い脅威アクターが、有効な企業認証情報と有効なMFAトークンを取得するために、広範なソーシャルエンジニアリングキャンペーンを実行していることを示している。

最近のキャンペーンでは、ShinyHuntersは従来のランサムウェアグループというよりも、個人情報やSaaSへのアクセス権を脅迫する恐喝行為に近い行動をとっていることが明らかになっている。

作戦前偵察とフィッシング

初期段階では、攻撃者は事前偵察に大きく依存し、標的となる従業員や、なりすます特定の社内部門（ITヘルプデスクや法務部門など）について広範な調査を行う可能性が高い。

既知の組織の電話番号を偽装することで、発信者は即座に信頼関係を築き、従業員が内部サポート業務を支援したいという自然な傾向を利用する。

さらに、ShinyHuntersの攻撃者は攻撃的な行動をとることが確認されており、標的に圧力をかけて従わせるために頻繁にフォローアップのボイスメールを使用したり、個人デバイスで悪意のあるリンクにアクセスすることで企業のセキュリティ制御を回避するようにユーザーに指示したりしている。

ユーザーがフィッシングサイトで認証情報を入力すると、攻撃者はリバースプロキシフィッシングキットを使用して、その情報を正規の企業ログインポータルにリアルタイムで送信します。その後、被害者は電話で有効なMFAトークンを入力するか、プッシュ通知を受け入れるように促され、攻撃者は有効なWebセッションを取得できます。

クライアントの声

Health-ISACは、状況認識を高め、組織がセキュリティシステムの悪用や機能妨害を未然に防ぐよう促すために、この情報を提供しています。

正当なインフラストラクチャでない限り、組織内で.claimおよび.claimsトップレベルドメインをブロックしてください。

従業員のトレーニングと意識向上: 攻撃的なフィッシング電話やボイスメールによる誘い込みなど、現代のソーシャルエンジニアリングの手法についてスタッフを教育する、対象を絞ったセキュリティ意識向上トレーニングを実施し、類似ドメインを識別する方法や、社内IT通信を安全に検証する方法を理解させる。
デバイスコンテキスト検証を強制するSaaSアプリケーション、社内ポータル、およびAPIへのアクセスを、クライアント証明書、EDRヘルスチェック、またはMDMプロファイルによって検証された企業管理デバイスに限定してください。多層防御アーキテクチャがなければ、ID検証だけでは不十分です。
フィッシング対策型多要素認証への移行: すべての管理者および高リスクグループに対して、FIDO2/WebAuthnセキュリティキーまたはパスキーの使用を優先し、SMS/音声MFAおよび脆弱な代替手段を無効にするか、厳しく制限する。
ヘルプデスクとMFAリセットワークフローの強化MFAリセットには厳格な本人確認を義務付け、IT部門が「着信通話でMFAをリセットすることはない」ことを従業員に周知徹底する。
モニター類似インフラストラクチャ類似ドメイン登録、新規観測ドメイン（NOD）、および企業向けシングルサインオンサービスをターゲットとしたブランドサブドメインを追跡します。
セッション管理: ユーザーのワークフローを効果的にサポートしつつセキュリティを確保するセッションタイムアウトを設定し、準拠していないIdPの可視性を制限する