Brådskande hotmeddelande: ShinyHunters vishingkampanjer och domänimitation

September 3, 2026

ShinyHunters Vishing-kampanjer och domänimitation riktar sig aktivt mot den globala hälsosektorn

Hotmeddelanden | TLP:WHITE | Varnings-ID: 24113aee | 28 augusti 2026 | 03:37 EDT

Cyberbrottsligan ShinyHunters utgör en tydlig och aktuell fara för den globala hälsosektorn och representerar ett omedelbart hot genom ihållande, riktade röstnätfiskekampanjer (vishing) som syftar till att lura företagspersonal att exponera inloggningsuppgifter på skadliga, medicinskt inriktade personifieringsdomäner.

Denna grupp riktar sig aktivt mot hälso- och sjukvårdssektorn och har i flera fall nyligen lyckats kringgå multifaktorautentisering (MFA) för att snabbt ställa om från plattformar för enkel inloggning (SSO) till uppkopplade SaaS-applikationer för storskalig datautvinning och utpressning. Eftersom dessa kampanjer utgör en allvarlig risk för komprometterade inloggningsuppgifter och obehörig åtkomst till företagets infrastruktur, uppmanar vi starkt alla Health-ISAC-medlemmar att omedelbart granska och strikt följa rekommendationerna nedan.

Under de senaste två veckorna har Health-ISAC utfärdat varningar till flera organisationer inom hälso- och sjukvårdssektorn efter att ha observerat ihållande, mycket riktade vishingkampanjer. Dessa kampanjer försöker lura användare att exponera sina inloggningsuppgifter på skadliga webbplatser som imiterar legitima inloggningssidor, vilket underlättar obehörig initial åtkomst.

Den mest identifierbara delen av operationen är att domäner används med company-claims[.]com eller company[.]claims som utger sig för att vara företaget i domänen.

Nyligen genomförda observationer tyder på att hotaktörer – specifikt kopplade till sextortionsgruppen ShinyHunter – når anställda direkt på personliga mobila enheter via samtal och röstmeddelanden, samt skickar e-post till användare i massor från flera slumpmässiga konton.

Den senaste registreringen av domäner med medicinskt tema indikerar ett utökat omfång som riktar sig mot hälsovårdsverksamhet och specialiserade affärsenheter, vilket understryker avsikten att etablera bestående initial åtkomst över olika företagssektorer. [Se graf i PDF-filen]

För ShinyHunters är SSO-plattformen kontrollplanet. När en identitet har komprometterats byter aktörerna snabbt från den centrala identitetsleverantörens (IdP) instrumentpanel till anslutna SaaS-plattformar (som Microsoft 365, SharePoint och Salesforce) för att stjäla känslig data och intern kommunikation. Denna datastöld i molnskala ger den nödvändiga hävstången för deras efterföljande utpressningskrav.

Det primära operativa mönstret som identifierats för dessa infrastrukturregistreringar är användningen av de nyregistrerade domänerna med prefixet målföretagets namn, följt av variabla ändelser anpassade för specifika nätfiskeattacker.

Dessa kampanjer utgör en allvarlig risk för komprometterade autentiseringsuppgifter, kringgående av flerfaktorsautentisering (MFA) och efterföljande obehörig åtkomst till företagsinfrastruktur och moln-/SaaS-plattformar.

Health-ISAC levererade omgångar av riktade varningar till flera organisationer efter att underrättelsepartners delat insikter om att domäner som liknade och personifierade domäner hade skapats med hjälp av infrastruktur som imiterar det legitima företaget. Detta hade lett till att användares inloggningsuppgifter komprometterades på sidor som liknar legitima företagsinloggningsportaler.

Analys

Den observerade hotaktiviteten belyser en välorganiserad, anpassningsbar hotaktör som genomför breda sociala ingenjörskampanjer för att erhålla giltiga företagsuppgifter och aktiva MFA-tokens.

Nyligen genomförda kampanjer har visat att ShinyHunters beter sig mindre som en traditionell ransomware-grupp och mer som en utpressningsoperation för identitets- och SaaS-åtkomst.

Föroperationell rekognosering och vishing

I de inledande faserna förlitar sig aktörerna sannolikt i hög grad på föroperativ rekognoscering och genomför omfattande forskning om utvalda anställda och de specifika interna avdelningar (som IT-helpdeskar eller juridisk verksamhet) de väljer att imitera.

Genom att förfalska kända organisationstelefonnummer skapar uppringare omedelbart förtroende och utnyttjar personalens naturliga benägenhet att hjälpa interna supportfunktioner.

Dessutom har ShinyHunters-aktörer observerats agera aggressivt, och ofta använda uppföljande röstmeddelanden för att pressa måltavlor att följa reglerna och instruera användare att kringgå företagets säkerhetskontroller genom att navigera till skadliga länkar på personliga enheter.

När användaren skickar in sina inloggningsuppgifter på nätfiskesidan använder hotaktören omvända proxy-nätfiskepaket för att skicka dem till den legitima företagsinloggningsportalen i realtid. Offret uppmanas sedan via telefon att ange sin aktiva MFA-token eller att acceptera en push-notis, vilket ger angriparen en aktiv webbsession.

Rekommendationer

Health-ISAC tillhandahåller denna information för att öka situationsmedvetenheten och uppmuntra organisationer att förhindra framgångsrikt utnyttjande och störningar av sin säkerhetsapparat.

Blockera toppdomänerna .claim och .claims inom din organisation om de inte är legitim infrastruktur.

Personalutbildning och medvetenhetImplementera riktad säkerhetsmedvetenhetsutbildning som utbildar personalen i moderna sociala ingenjörskonsttaktik, såsom aggressiva vishing-samtal och röstbrevlådans lockbete, och säkerställ att de förstår hur man identifierar liknande domäner och säkert verifierar intern IT-kommunikation.
Tillämpa verifiering av enhetskontextBegränsa SaaS-applikationer, interna portaler och API:er till företagshanterade enheter som verifierats via klientcertifikat, EDR-hälsokontroller eller MDM-profiler. Identitetsverifiering ensamt är otillräcklig utan en djupgående arkitektur.
Övergång till nätfiskebeständig MFAFöredra FIDO2/WebAuthn-säkerhetsnycklar eller lösennycklar för alla administratörer och högriskgrupper, och inaktivera eller begränsa SMS/röst MFA och svaga reservmetoder strikt.
Harden Helpdesk & MFA Återställ arbetsflödenKräv strikt identitetsverifiering för MFA-återställningar och se till att anställda är utbildade i att IT-avdelningen ”inte kommer att återställa MFA vid inkommande samtal”.
Övervaka Looklike-infrastrukturSpåra registreringar av liknande domäner, nyligen observerade domäner (NOD) och varumärkesbaserade underdomäner som riktar sig mot företagstjänster för enkel inloggning.
Session ManagementStäll in sessionstimeouts som effektivt stöder användarnas arbetsflöden samtidigt som säkerheten säkerställs, begränsa IdP-synlighet för icke-kompatibla

Health-ISAC tillhandahåller denna information för att förhindra framgångsrikt utnyttjande och störningar av er säkerhetsapparat. För mer information, se Health Industry Cybersecurity Practices (HICP): Hantera hot och skydda patienter.