Hastevarsel om trussel: ShinyHunters Vishing-kampanjer og domeneetterligning

September 3, 2026

ShinyHunters Vishing-kampanjer og domeneetterligning retter seg aktivt mot den globale helsesektoren

Trusselmeldinger | TLP:WHITE | Varsel-ID: 24113aee | 28. august 2026 | 03:37 EDT

Nettkriminalitetsgjengen ShinyHunters utgjør en klar og aktuelt fare for den globale helsesektoren, og representerer en umiddelbar trussel gjennom vedvarende, svært målrettede talephishing-kampanjer (vishing) som tar sikte på å lure bedriftspersonell til å eksponere legitimasjon på ondsinnede, medisinsk-tema etterligningsdomener.

Denne gruppen retter seg aktivt mot helsesektoren og har i flere nylige tilfeller lykkes med å omgå flerfaktorautentisering (MFA) for raskt å gå over fra enkel påloggingsplattformer (SSO) til tilkoblede SaaS-applikasjoner for storskala datautentisering og utpressing. Fordi disse kampanjene utgjør en alvorlig risiko for kompromitterte legitimasjonsdetaljer og uautorisert tilgang til bedriftsinfrastruktur, oppfordrer vi på det sterkeste alle Health-ISAC-medlemmer til umiddelbart å gjennomgå og følge anbefalingene nedenfor strengt.

I løpet av de siste to ukene har Health-ISAC utstedt advarsler til flere helseorganisasjoner etter å ha observert vedvarende, svært målrettede «vishing»-kampanjer. Disse kampanjene forsøker å lure brukere til å eksponere legitimasjonen sin på ondsinnede nettsteder som etterligner legitime innloggingssider, og dermed legge til rette for uautorisert første tilgang.

Den mest identifiserbare delen av operasjonen er at domener brukes med company-claims[.]com eller company[.]claims som utgir seg for å være selskapet i domenet.

Nylige observasjoner indikerer at trusselaktører – spesielt knyttet til sextorsjonsgruppen ShinyHunter – når ansatte direkte på personlige mobilenheter via anrop og talemeldinger, i tillegg til at de sender e-post til brukere i hopetall fra flere tilfeldige kontoer.

Den nylige registreringen av medisinsk-tema domener indikerer et økende omfang rettet mot helseoperasjoner og spesialiserte forretningsenheter, noe som understreker intensjonen om å etablere vedvarende initial tilgang på tvers av ulike virksomhetssektorer. [Se graf i PDF-filen]

For ShinyHunters er SSO-plattformen kontrollplanet. Når en identitet er kompromittert, bytter aktørene raskt fra det sentrale identitetsleverandørens (IdP) dashbord til tilkoblede SaaS-plattformer (som Microsoft 365, SharePoint og Salesforce) for å tvangsutnytte sensitive data og intern kommunikasjon. Dette datatyveriet i skyskala gir den nødvendige innflytelsen for deres påfølgende utpressingskrav.

Det primære driftsmønsteret som er identifisert på tvers av disse infrastrukturregistreringene er bruken av de nyregistrerte domenene med prefikset til målbedriftens navn, etterfulgt av variable endelser skreddersydd for spesifikke phishing-lokkemidler.

Disse kampanjene utgjør en alvorlig risiko for kompromitterte legitimasjonsdetaljer, omgåelse av flerfaktorautentisering (MFA) og påfølgende uautorisert tilgang til bedriftsinfrastruktur og sky-/SaaS-plattformer.

Health-ISAC leverte grupper med målrettede varsler til flere organisasjoner etter at etterretningspartnere delte innsikt om at like-domener og imitasjonsdomener ble opprettet ved hjelp av infrastruktur som imiterer det legitime selskapet. Dette hadde ført til at brukernes legitimasjon ble kompromittert på sider som lignet på legitime bedriftsinnloggingsportaler.

Analyse

Den observerte trusselaktiviteten fremhever en svært organisert og tilpasningsdyktig trusselaktør som utfører brede sosial manipuleringskampanjer for å skaffe gyldige bedriftslegitimasjoner og aktive MFA-tokens.

Nylige kampanjer har vist at ShinyHunters oppfører seg mindre som en tradisjonell ransomware-gruppe og mer som en utpressingsoperasjon for identitet og SaaS-tilgang.

Preoperativ rekognosering og vishing

I de innledende fasene er aktørene sannsynligvis i stor grad avhengige av preoperativ rekognosering, og gjennomfører omfattende research på målrettede ansatte og de spesifikke interne avdelingene (som IT-hjelpedesker eller juridiske operasjoner) de velger å imitere.

Ved å forfalske kjente telefonnumre i organisasjonen, etablerer innringere umiddelbar tillit og utnytter de ansattes naturlige tilbøyelighet til å hjelpe interne støttefunksjoner.

Videre har ShinyHunters-aktører blitt observert med aggressiv oppførsel, og ofte brukt oppfølgingsmeldinger for å presse mål til å overholde regler og instruere brukere til å omgå bedriftens sikkerhetskontroller ved å navigere til ondsinnede lenker på personlige enheter.

Når brukeren sender inn påloggingsinformasjonen sin på phishing-nettstedet, bruker trusselaktøren reverse-proxy phishing-sett for å sende dem til den legitime bedriftens påloggingsportal i sanntid. Offeret blir deretter bedt over telefon om å oppgi sitt aktive MFA-token eller godta et push-varsel, noe som gir angriperen en aktiv nettøkt.

Anbefalinger

Health-ISAC tilbyr denne informasjonen for å øke situasjonsforståelsen og oppmuntre organisasjoner til å forhindre vellykket utnyttelse og forstyrrelse av sikkerhetsapparatet sitt.

Blokker toppdomenene .claim og .claims i organisasjonen din med mindre de er legitim infrastruktur.

Opplæring og bevisstgjøring av ansatteImplementer målrettet sikkerhetsbevissthetsopplæring som utdanner ansatte i moderne sosial manipulering, som aggressive vishing-anrop og lokkemidler for telefonsvarer, og sørg for at de forstår hvordan de identifiserer like domener og verifiserer intern IT-kommunikasjon på en sikker måte.
Håndhev bekreftelse av enhetskontekstBegrens SaaS-applikasjoner, interne portaler og API-er til bedriftsadministrerte enheter som er bekreftet via klientsertifikater, EDR-helsesjekker eller MDM-profiler. Identitetsverifisering alene er ikke tilstrekkelig uten en dyptgående arkitektur.
Overgang til phishing-bestandig MFAForetrekk FIDO2/WebAuthn-sikkerhetsnøkler eller passord for alle administratorer og høyrisikogrupper, og deaktiver eller begrens strengt SMS/tale MFA og svake reservemetoder.
Harden brukerstøtte og MFA tilbakestillingsarbeidsflyterKrev streng identitetsverifisering for MFA-tilbakestillinger og sørg for at ansatte er opplært i at IT-avdelingen «ikke vil tilbakestille MFA på innkommende anrop».
Overvåke lignende infrastrukturSpor registreringer av dobbeltdomener, nylig observerte domener (NOD-er) og merkede underdomener som er rettet mot bedriftstjenester for enkel pålogging.
Session ManagementAngi tidsavbrudd for økter som effektivt støtter brukerarbeidsflyter samtidig som sikkerheten sikres, begrens IdP-synlighet for ikke-kompatible

Health-ISAC tilbyr denne informasjonen for å forhindre vellykket utnyttelse og forstyrrelse av sikkerhetsapparatet ditt. For mer informasjon, se Health Industry Cybersecurity Practices (HICP): Managing Threats and Protecting Patients (Helsebransjens cybersikkerhetspraksis (HICP): Håndtering av trusler og beskyttelse av pasienter).