Ir para o conteúdo principal

Alerta urgente de ameaça: Campanhas de vishing e falsificação de domínio do ShinyHunters

Boletim de Ameaças: Campanhas de vishing e falsificação de domínio do ShinyHunters visam ativamente o setor global de saúde.

Campanhas de vishing e falsificação de domínio da ShinyHunters visam ativamente o setor global de saúde.

Boletins de Ameaças | TLP:WHITE | ID do Alerta: 24113aee | 28 de agosto de 2026 | 03h37 (Horário do Leste dos EUA)

 

A quadrilha de cibercriminosos ShinyHunters representa um perigo claro e iminente para o setor global de saúde, constituindo uma ameaça direta por meio de campanhas persistentes e altamente direcionadas de phishing por voz (vishing), que visam enganar funcionários de empresas para que revelem suas credenciais em domínios maliciosos de falsificação de identidade com temática médica.

Este grupo está visando ativamente o setor de saúde e obteve sucesso em diversos casos recentes, burlando a autenticação multifator (MFA) para migrar rapidamente de plataformas de login único (SSO) para aplicativos SaaS conectados, visando a exfiltração e extorsão de dados em larga escala. Como essas campanhas representam um grave risco de comprometimento de credenciais e acesso não autorizado à infraestrutura corporativa, recomendamos fortemente que todos os membros do Health-ISAC revisem imediatamente e sigam rigorosamente as recomendações abaixo.

Nas últimas duas semanas, a Health-ISAC emitiu alertas para diversas organizações do setor de saúde após observar campanhas de vishing persistentes e altamente direcionadas. Essas campanhas tentam enganar os usuários para que exponham suas credenciais em sites maliciosos que imitam páginas de login legítimas, facilitando assim o acesso inicial não autorizado.

A parte mais identificável da operação é que domínios são criados com company-claims[.]com ou company[.]claims, personificando a empresa no domínio.

Observações recentes indicam que agentes maliciosos — especificamente ligados ao grupo de extorsão sexual ShinyHunter — estão contatando funcionários diretamente em seus dispositivos móveis pessoais por meio de ligações e mensagens de voz, além de enviar e-mails em massa para os usuários a partir de diversas contas aleatórias.

O recente registro de domínios com temática médica indica um escopo crescente voltado para operações de saúde e unidades de negócios especializadas, reforçando a intenção de estabelecer um acesso inicial persistente em diversos setores empresariais. [Ver gráfico no PDF]

Para os ShinyHunters, a plataforma SSO é o plano de controle. Uma vez que uma identidade é comprometida, os criminosos rapidamente migram do painel de controle do provedor de identidade (IdP) central para plataformas SaaS conectadas (como Microsoft 365, SharePoint e Salesforce) para exfiltrar dados confidenciais e comunicações internas. Esse roubo de dados em escala de nuvem fornece a alavancagem necessária para suas subsequentes exigências de extorsão.

O principal padrão operacional identificado nesses registros de infraestrutura é o uso de domínios recém-registrados com o prefixo do nome da empresa-alvo, seguido por terminações variáveis ​​adaptadas a iscas de phishing específicas.

Essas campanhas representam um risco grave de comprometimento de credenciais, burla da autenticação multifator (MFA) e consequente acesso não autorizado à infraestrutura corporativa e às plataformas de nuvem/SaaS.

A Health-ISAC enviou lotes de alertas direcionados a diversas organizações após parceiros de inteligência compartilharem informações de que domínios falsos e de falsificação foram criados usando infraestrutura que imita a empresa legítima. Isso levou ao comprometimento das credenciais dos usuários em páginas que se assemelham aos portais de login legítimos da empresa.

 

Análise

A atividade de ameaça observada destaca um agente de ameaça altamente organizado e adaptável, que executa amplas campanhas de engenharia social para obter credenciais corporativas válidas e tokens MFA ativos.

Campanhas recentes demonstraram que o ShinyHunters está se comportando menos como um grupo de ransomware tradicional e mais como uma operação de extorsão de acesso a identidades e SaaS.

Reconhecimento pré-operacional e vishing

Nas fases iniciais, os agentes provavelmente dependem muito do reconhecimento pré-operacional, realizando pesquisas extensivas sobre os funcionários visados ​​e os departamentos internos específicos (como centrais de atendimento de TI ou departamento jurídico) que optam por imitar.

Ao falsificar números de telefone organizacionais conhecidos, os golpistas estabelecem confiança imediata e exploram a inclinação natural dos funcionários em auxiliar as funções de suporte interno.

Além disso, observou-se que os agentes do ShinyHunters agem de forma agressiva, utilizando frequentemente mensagens de voz de acompanhamento para pressionar as vítimas a cooperarem e instruindo os usuários a contornarem os controles de segurança corporativos navegando até links maliciosos em dispositivos pessoais.

Assim que o usuário envia suas credenciais no site de phishing, o criminoso utiliza kits de phishing com proxy reverso para redirecioná-las ao portal de login legítimo da empresa em tempo real. A vítima é então solicitada por telefone a fornecer seu token MFA ativo ou a aceitar uma notificação push, concedendo ao atacante uma sessão web ativa.

Recomendações

A Health-ISAC fornece essas informações para aumentar a consciência situacional e incentivar as organizações a prevenir a exploração e a interrupção bem-sucedidas de seus sistemas de segurança.

Bloqueie os domínios de nível superior .claim e .claims em sua organização, a menos que sejam infraestrutura legítima.

  • Treinamento e conscientização dos funcionáriosImplementar treinamentos de conscientização em segurança direcionados, que eduquem os funcionários sobre táticas modernas de engenharia social, como ligações agressivas de vishing e mensagens de voz enganosas, garantindo que eles entendam como identificar domínios semelhantes e verificar com segurança as comunicações internas de TI.
  • Impor a verificação do contexto do dispositivoRestrinja o acesso a aplicativos SaaS, portais internos e APIs a dispositivos gerenciados pela empresa, verificados por meio de certificados de cliente, verificações de integridade do EDR ou perfis MDM. A verificação de identidade por si só é insuficiente sem uma arquitetura de defesa em profundidade.
  • Transição para MFA resistente a phishingDê preferência a chaves de segurança ou senhas FIDO2/WebAuthn para todos os administradores e grupos de alto risco, e desative ou restrinja rigorosamente a autenticação multifator (MFA) por SMS/voz e métodos alternativos fracos.
  • Reforçar a segurança do Helpdesk e redefinir os fluxos de trabalho de MFAExigir verificação de identidade rigorosa para redefinições de MFA e garantir que os funcionários sejam treinados para entender que o departamento de TI "não redefinirá a MFA em chamadas recebidas".
  • Monitorar infraestrutura semelhanteRastrear registros de domínios semelhantes, domínios recém-observados (NODs) e subdomínios de marca direcionados a serviços corporativos de autenticação única (SSO).
  • Gerenciamento de SessõesDefina tempos limite de sessão que suportem efetivamente os fluxos de trabalho do usuário, garantindo a segurança e restringindo a visibilidade do IdP para usuários não conformes.

A Health-ISAC fornece essas informações para evitar a exploração e a interrupção bem-sucedidas do seu sistema de segurança. Para obter mais informações, consulte as Práticas de Segurança Cibernética do Setor de Saúde (HICP): Gerenciando Ameaças e Protegendo Pacientes.

Referências

Práticas de Cibersegurança na Indústria da Saúde (HICP): Gerenciando Ameaças e Protegendo Pacientes

TLP WHITE: Engenharia Social e Segmentação de Identidade Ligadas ao ShinyHunters

Impacto dos caçadores de peixes brilhantes no setor da saúde e estratégias de mitigação recomendadas

Rastreando a expansão do roubo de dados em SaaS da marca ShinyHunters

 

TLP:WHITE: Sujeito às normas padrão de direitos autorais, as informações da TLP:WHITE podem ser distribuídas sem restrições.

Health-ISAC sobre Rádio Secreta na Área da Saúde: Colaboração Intersetorial
Quando todos podem encontrar seus bugs: Segurança de dispositivos médicos após a IA