ShinyHunters의 보이스피싱 캠페인 및 도메인 사칭이 전 세계 의료 부문을 적극적으로 노리고 있습니다.
위협 경보 | TLP:WHITE | 경보 ID: 24113aee | 2026년 8월 28일 | 오후 3시 37분 (미국 동부시간)
샤이니헌터스 사이버 범죄 조직은 전 세계 의료 부문에 명백하고 현존하는 위협을 가하고 있으며, 기업 담당자들이 악의적인 의료 관련 사칭 도메인에서 자격 증명을 노출하도록 유도하는 지속적이고 고도로 표적화된 음성 피싱(vishing) 캠페인을 통해 즉각적인 위협을 제기하고 있습니다.
이 그룹은 의료 부문을 적극적으로 표적으로 삼고 있으며, 최근 여러 사례에서 다단계 인증(MFA)을 우회하여 단일 로그인(SSO) 플랫폼에서 연결된 SaaS 애플리케이션으로 신속하게 전환해 대규모 데이터 유출 및 금전 갈취를 자행하는 데 성공했습니다. 이러한 공격은 자격 증명 유출 및 기업 인프라에 대한 무단 접근이라는 심각한 위험을 초래하므로, Health-ISAC 회원 여러분께서는 아래 권고사항을 즉시 검토하고 엄격히 준수해 주시기 바랍니다.
지난 2주 동안 Health-ISAC은 지속적이고 고도로 표적화된 피싱 공격이 발생하고 있음을 확인한 후 여러 의료 기관에 경고를 발령했습니다. 이러한 공격은 사용자를 속여 합법적인 로그인 페이지처럼 보이는 악성 사이트에 계정 정보를 노출하도록 유도하여 무단 접근을 용이하게 합니다.
이러한 작전에서 가장 눈에 띄는 부분은 회사 이름을 사칭하여 company-claims[.]com 또는 company[.]claims와 같은 도메인을 생성한다는 점입니다.
최근 관찰 결과에 따르면, 특히 ShinyHunter 성착취 그룹과 연관된 위협 행위자들이 직원들의 개인 휴대전화로 직접 전화 및 음성 메시지를 보내거나, 여러 개의 임의 계정을 이용해 대량 이메일을 발송하는 수법을 사용하고 있는 것으로 나타났습니다.
최근 의료 관련 도메인 등록은 의료 관련 사업 및 전문 비즈니스 부문을 겨냥한 시장 범위가 확대되고 있음을 보여주며, 다양한 기업 분야에 걸쳐 지속적인 초기 접근권을 확보하려는 의도를 강조합니다. [PDF 파일의 그래프 참조]
ShinyHunters에게 SSO 플랫폼은 제어 영역입니다. 일단 ID가 손상되면 공격자들은 중앙 ID 공급자(IdP) 대시보드에서 연결된 SaaS 플랫폼(예: Microsoft 365, SharePoint, Salesforce)으로 신속하게 이동하여 민감한 데이터와 내부 통신 내용을 유출합니다. 클라우드 규모의 이러한 데이터 탈취는 이후의 협박 요구에 필요한 지렛대를 제공합니다.
이러한 인프라 등록 전반에서 확인된 주요 운영 패턴은 대상 회사의 이름을 접두사로 붙이고 특정 피싱 미끼에 맞춰 변형된 도메인 끝부분을 추가하여 새로 등록하는 방식입니다.
이러한 캠페인은 자격 증명 유출, 다단계 인증(MFA) 우회, 그리고 그로 인한 기업 인프라 및 클라우드/SaaS 플랫폼에 대한 무단 접근이라는 심각한 위험을 초래합니다.
Health-ISAC은 정보 파트너들이 유사 도메인 및 사칭 도메인이 실제 회사를 사칭하는 인프라를 사용하여 구축되었다는 정보를 공유한 후 여러 조직에 표적 경고를 일괄적으로 전달했습니다. 이로 인해 사용자들이 실제 회사 로그인 포털과 유사한 페이지에서 자격 증명이 유출되는 문제가 발생했습니다.
분석
관찰된 위협 활동은 고도로 조직화되고 적응력이 뛰어난 위협 행위자가 유효한 기업 자격 증명과 활성 MFA 토큰을 획득하기 위해 광범위한 소셜 엔지니어링 캠페인을 실행하고 있음을 보여줍니다.
최근의 활동들을 보면 ShinyHunters는 전통적인 랜섬웨어 그룹이라기보다는 신원 정보 및 SaaS 접근 권한을 갈취하는 공격 방식에 더 가까운 것으로 나타났습니다.
작전 전 정찰 및 탐사
초기 단계에서 공격자들은 사전 정찰에 크게 의존하여, 목표로 삼은 직원들과 그들이 사칭할 특정 내부 부서(예: IT 헬프 데스크 또는 법무팀)에 대해 광범위한 조사를 수행할 가능성이 높습니다.
발신자는 알려진 조직 전화번호를 사칭함으로써 즉각적인 신뢰를 구축하고 내부 지원 기능을 돕고자 하는 직원들의 자연스러운 성향을 악용합니다.
또한 ShinyHunters 공격자들은 공격적인 행태를 보이며, 표적에게 규정 준수를 압박하기 위해 후속 음성 메시지를 자주 사용하고, 개인 기기에서 악성 링크로 이동하여 기업 보안 제어를 우회하도록 사용자에게 지시하는 것으로 관찰되었습니다.
사용자가 피싱 사이트에 자격 증명을 제출하면 공격자는 리버스 프록시 피싱 키트를 사용하여 해당 정보를 실시간으로 실제 기업 로그인 포털에 전송합니다. 그러면 피해자는 전화로 활성 MFA 토큰을 제공하거나 푸시 알림을 수락하라는 메시지를 받게 되며, 이를 통해 공격자는 활성 웹 세션을 확보하게 됩니다.
추천
Health-ISAC은 상황 인식을 높이고 조직이 보안 시스템의 성공적인 악용 및 방해를 예방하도록 장려하기 위해 이러한 정보를 제공합니다.
조직 내에서 합법적인 인프라가 아닌 경우 .claim 및 .claims 최상위 도메인을 차단하십시오.
- 직원 교육 및 인식직원들이 공격적인 보이스피싱 전화 및 음성메일 미끼와 같은 최신 소셜 엔지니어링 전술에 대해 교육하고, 유사 도메인을 식별하고 내부 IT 통신을 안전하게 확인하는 방법을 이해하도록 하는 맞춤형 보안 인식 교육을 시행합니다.
- 기기 컨텍스트 검증을 강제합니다SaaS 애플리케이션, 내부 포털 및 API에 대한 접근을 클라이언트 인증서, EDR 상태 점검 또는 MDM 프로필을 통해 검증된 기업 관리 기기로 제한하십시오. 심층 방어 아키텍처 없이는 신원 확인만으로는 충분하지 않습니다.
- 피싱 방지 MFA로 전환관리자 및 고위험군에 대해서는 FIDO2/WebAuthn 보안 키 또는 패스키를 우선적으로 사용하고, SMS/음성 MFA 및 취약한 대체 인증 방식은 비활성화하거나 엄격하게 제한하십시오.
- 헬프데스크 및 MFA 재설정 워크플로 강화MFA 재설정을 위해 엄격한 신원 확인 절차를 요구하고, IT 부서에서는 "수신 전화로 MFA를 재설정하지 않는다"는 점을 직원들에게 교육해야 합니다.
- 모니터 유사 인프라: 기업용 싱글 사인온 서비스를 노리는 유사 도메인 등록, 신규 도메인(NOD) 및 브랜드 서브도메인을 추적합니다.
- 세션 관리사용자 워크플로우를 효과적으로 지원하면서 보안을 보장하는 세션 시간 제한을 설정하고, 규정을 준수하지 않는 IdP에 대한 가시성을 제한합니다.
Health-ISAC은 보안 시스템에 대한 성공적인 악용 및 시스템 마비를 방지하기 위해 이 정보를 제공합니다. 자세한 내용은 의료 산업 사이버 보안 실무(HICP): 위협 관리 및 환자 보호를 참조하십시오.
참고자료
의료 산업 사이버 보안 실무(HICP): 위협 관리 및 환자 보호
TLP 화이트: 샤이니헌터스(ShinyHunters)와 연계된 소셜 엔지니어링 및 신원 타겟팅
반짝이는 포켓몬 사냥꾼이 보건 분야에 미치는 영향 및 권장 완화 전략
ShinyHunters 브랜드 SaaS 데이터 도용 확산 추적
TLP:WHITE: 표준 저작권 규정에 따라 TLP:WHITE 정보는 제한 없이 배포할 수 있습니다.
- 관련 리소스 및 뉴스
- Health-ISAC, 6월 사이버 훈련 후 복구된 임상 시스템 검증 촉구
- 위협 단체들이 의료 부문을 겨냥한 사회공학적 공격을 강화하고 있다.
- 의료기기 구매의 새로운 걸림돌은 무엇일까요? 바로 사이버 보안입니다.
- 2026년 아메리카 취미 운동 활동 보고서
- Health-ISAC® 유럽 운영 책임자, 유럽 ISAC 협의회 의장으로 선출
- CTEM 101: 스프레드시트에서 지속적 위험 감소로의 전환
- 월간 뉴스레터 – 2026년 XNUMX월
- OpenAI는 최전선 사이버 방어자를 위한 리소스 및 교육 제공에 1억 달러를 투자하겠다고 약속했습니다.
- 건강-ISAC 해킹 헬스케어 9-29-2026
- 의료 사이버 보안은 집단 방어 시대로 진입하고 있습니다.