Salt la conținutul principal

Alertă urgentă privind amenințările: Campanii de vishing ShinyHunters și uzurparea identității domeniului

Buletin informativ despre amenințări: Campaniile de vishing ShinyHunters și uzurparea de numere de domeniu vizează activ sectorul global al sănătății.

Campaniile de vishing ShinyHunters și uzurparea de nume de domeniu vizează în mod activ sectorul global al sănătății

Buletine de amenințări | TLP:WHITE | ID alertă: 24113aee | 28 august 2026 | 03:37 EDT

 

Grupul de criminalitate cibernetică ShinyHunters reprezintă un pericol clar și prezent pentru sectorul global al sănătății, reprezentând o amenințare imediată prin campanii persistente și extrem de bine direcționate de phishing vocal (vishing), care vizează păcălirea personalului din companii pentru a expune acreditările pe domenii de uzurpare a identității, cu tematică medicală, care sunt rău intenționate.

Acest grup vizează în mod activ sectorul sănătății și a avut succes în mai multe cazuri recente prin ocolirea autentificării multi-factor (MFA) pentru a trece rapid de la platformele single sign-on (SSO) la aplicații SaaS conectate pentru exfiltrare și extorcare de date la scară largă. Deoarece aceste campanii prezintă un risc sever de compromitere a acreditărilor și acces neautorizat la infrastructura corporativă, încurajăm insistent toți membrii Health-ISAC să examineze imediat și să urmeze cu strictețe recomandările furnizate mai jos.

În ultimele două săptămâni, Health-ISAC a emis avertismente către mai multe organizații din sectorul sănătății, după ce a observat campanii persistente și extrem de bine direcționate de tip „vishing”. Aceste campanii încearcă să păcălească utilizatorii să își expună datele de autentificare pe site-uri rău intenționate care imită pagini de conectare legitime, facilitând astfel accesul inițial neautorizat.

Cea mai ușor de identificat parte a operațiunii este aceea că domeniile sunt înregistrate cu revendicări company-claims[.]com sau company[.] care uzurpă identitatea companiei din domeniu.

Observațiile recente indică faptul că actorii care atacă ilegal angajații – în special cei legați de grupul de sextorsionare ShinyHunter – contactează angajații direct pe dispozitivele mobile personale prin apeluri și mesaje vocale, precum și trimit e-mailuri în masă utilizatorilor din mai multe conturi aleatorii.

Înregistrarea recentă a domeniilor cu tematică medicală indică o extindere a domeniului de aplicare care vizează operațiunile din domeniul sănătății și unitățile de afaceri specializate, subliniind intenția de a stabili un acces inițial persistent în diverse sectoare de afaceri. [Vezi graficul din PDF]

Pentru ShinyHunters, platforma SSO este planul de control. Odată ce o identitate este compromisă, actorii se mută rapid de la tabloul de bord al furnizorului central de identitate (IdP) la platforme SaaS conectate (cum ar fi Microsoft 365, SharePoint și Salesforce) pentru a exfiltra date sensibile și comunicații interne. Acest furt de date la scară cloud oferă pârghia necesară pentru cererile lor ulterioare de extorcare.

Principalul model operațional identificat în cadrul acestor înregistrări de infrastructură este utilizarea domeniilor nou înregistrate, având prefixul numelui companiei țintă, urmate de variabile de tip „terminal” adaptate la anumite tipuri de atacuri de phishing.

Aceste campanii prezintă un risc sever de compromitere a acreditărilor, ocolire a autentificării multi-factor (MFA) și acces neautorizat ulterior la infrastructura corporativă și la platformele cloud/SaaS.

Health-ISAC a livrat seturi de alerte direcționate către mai multe organizații după ce partenerii din domeniul informațiilor au împărtășit informații conform cărora domenii similare și de uzurpare de identitate au fost configurate folosind o infrastructură care uzurpă identitatea companiei legitime. Acest lucru a dus la compromiterea acreditărilor utilizatorilor pe pagini care seamănă cu portaluri de conectare legitime ale companiilor.

 

Analiză

Activitatea de amenințare observată evidențiază un actor extrem de organizat și adaptabil, care execută campanii ample de inginerie socială pentru a obține acreditări corporative valide și token-uri MFA active.

Campaniile recente au arătat că ShinyHunters se comportă mai puțin ca un grup ransomware tradițional și mai mult ca o operațiune de extorcare a identității și a accesului SaaS.

Recunoaștere preoperațională și Vishing

În fazele inițiale, actorii se bazează probabil în mare măsură pe recunoașterea preoperațională, efectuând cercetări ample asupra angajaților vizați și a departamentelor interne specifice (cum ar fi birourile de asistență IT sau operațiunile juridice) pe care aleg să le imite.

Prin falsificarea numerelor de telefon cunoscute ale organizației, apelanții stabilesc imediat încredere și exploatează înclinația naturală a personalului de a ajuta funcțiile de suport interne.

În plus, s-a observat că actorii ShinyHunters acționează agresiv, utilizând frecvent mesaje vocale ulterioare pentru a presa țintele să se conformeze și instruind utilizatorii să ocolească controalele de securitate corporative navigând către linkuri rău intenționate pe dispozitivele personale.

Odată ce utilizatorul își trimite datele de autentificare pe site-ul de phishing, atacatorul folosește kituri de phishing reverse-proxy pentru a le trimite către portalul legitim de conectare al companiei în timp real. Victima este apoi solicitată prin telefon să furnizeze token-ul MFA activ sau să accepte o notificare push, acordând atacatorului o sesiune web activă.

Recomandări

Health-ISAC oferă aceste informații pentru a crește conștientizarea situației și a încuraja organizațiile să prevină exploatarea cu succes și perturbarea aparatului lor de securitate.

Blochează domeniile de nivel superior .claim și .claims din cadrul organizației tale, cu excepția cazului în care acestea reprezintă o infrastructură legitimă.

  • Formarea și conștientizarea angajațilorImplementați instruire specifică în domeniul conștientizării securității, care să educe personalul cu privire la tacticile moderne de inginerie socială, cum ar fi apelurile vishing agresive și momelile pentru mesageria vocală, asigurându-vă că aceștia înțeleg cum să identifice domenii similare și să verifice în siguranță comunicațiile IT interne.
  • Aplicați verificarea contextului dispozitivuluiRestricționați aplicațiile SaaS, portalurile interne și API-urile la dispozitivele gestionate de companie, verificate prin certificate de client, verificări de stare EDR sau profiluri MDM. Verificarea identității în sine este insuficientă fără o arhitectură defensive-in-depth.
  • Tranziția către MFA rezistent la phishingPreferați cheile de securitate sau cheile de acces FIDO2/WebAuthn pentru toți administratorii și grupurile cu risc ridicat și dezactivați sau restricționați strict MFA SMS/voce și metodele de rezervă slabe.
  • Întărirea fluxurilor de lucru pentru asistență tehnică și resetarea MFASolicitați o verificare strictă a identității pentru resetarea MFA și asigurați-vă că angajații sunt instruiți că departamentul IT „nu va reseta MFA pentru apelurile primite”.
  • Monitorizați infrastructura similarăUrmăriți înregistrările de domenii similare, domeniile nou observate (NOD) și subdomeniile de marcă care vizează serviciile de autentificare unică corporativă.
  • Managementul sesiunilorSetați timeout-uri de sesiune care să susțină eficient fluxurile de lucru ale utilizatorilor, asigurând în același timp securitatea, restricționând vizibilitatea IdP-ului pentru utilizatorii neconformi

Health-ISAC oferă aceste informații pentru a preveni exploatarea cu succes și perturbarea sistemului dumneavoastră de securitate. Pentru mai multe informații, consultați Practicile de securitate cibernetică din industria medicală (HICP): Gestionarea amenințărilor și protejarea pacienților.

Referinte

Practici de securitate cibernetică în industria medicală (HICP): Gestionarea amenințărilor și protejarea pacienților

TLP WHITE: Inginerie socială și direcționare a identității legate de ShinyHunters

Impactul Shiny Hunters asupra sectorului sănătății și strategii de atenuare recomandate

Urmărirea extinderii furtului de date SaaS marca ShinyHunters

 

TLP:WHITE: Sub rezerva regulilor standard privind drepturile de autor, informațiile TLP:WHITE pot fi distribuite fără restricții.

Health-ISAC la Health Stealth Radio: Colaborare inter-industrie
Când toată lumea îți poate găsi insectele: Securitatea dispozitivelor medicale după inteligența artificială