Ana içeriğe atla

Acil Tehdit Uyarısı: ShinyHunters'ın Sesli Kimlik Avı Kampanyaları ve Alan Adı Taklitleri

Tehdit Bülteni: ShinyHunters, Küresel Sağlık Sektörünü Aktif Olarak Hedef Alan Sesli Kimlik Avı Kampanyaları ve Alan Adı Taklitleri Yürütüyor.

ShinyHunters'ın Vishing Kampanyaları ve Alan Adı Taklitleri Küresel Sağlık Sektörünü Aktif Olarak Hedef Alıyor

Tehdit Bültenleri | TLP:WHITE | Uyarı Kimliği: 24113aee | 28 Ağustos 2026 | 03:37 EDT

 

ShinyHunters siber suç çetesi, küresel sağlık sektörü için açık ve mevcut bir tehlike oluşturmaktadır. Şirket çalışanlarını kötü amaçlı, tıbbi temalı kimlik taklit sitelerinde kimlik bilgilerini ifşa etmeye kandırmayı amaçlayan, sürekli ve son derece hedefli sesli kimlik avı (vishing) kampanyaları yoluyla acil bir tehdit oluşturmaktadır.

Bu grup aktif olarak sağlık sektörünü hedef alıyor ve son zamanlarda çok faktörlü kimlik doğrulama (MFA) sistemlerini atlayarak tek oturum açma (SSO) platformlarından bağlantılı SaaS uygulamalarına hızla geçiş yaparak büyük ölçekli veri sızdırma ve şantaj faaliyetlerinde başarılı oldu. Bu kampanyalar, kimlik bilgilerinin ele geçirilmesi ve kurumsal altyapıya yetkisiz erişim riski taşıdığından, tüm Health-ISAC üyelerini aşağıda verilen önerileri derhal incelemeye ve kesinlikle uygulamaya teşvik ediyoruz.

Son iki hafta içinde, Health-ISAC, ısrarlı ve oldukça hedefli vishing kampanyaları gözlemledikten sonra çeşitli sağlık sektörü kuruluşlarına uyarıda bulundu. Bu kampanyalar, kullanıcıları meşru giriş sayfalarını taklit eden kötü amaçlı sitelerde kimlik bilgilerini ifşa etmeye kandırarak yetkisiz ilk erişimi kolaylaştırmayı amaçlamaktadır.

Operasyonun en kolay fark edilebilen kısmı, alan adlarında şirketin adını taklit eden company-claims[.]com veya company[.]claims uzantılarının kullanılmasıdır.

Son gözlemler, özellikle ShinyHunter adlı şantaj grubuna bağlı tehdit aktörlerinin, çalışanlara kişisel mobil cihazları üzerinden doğrudan arama ve sesli mesaj yoluyla ulaştığını ve ayrıca rastgele seçilmiş birden fazla hesaptan kullanıcılara toplu e-posta gönderdiğini göstermektedir.

Son dönemde tıbbi temalı alan adlarının tescil edilmesi, sağlık operasyonlarını ve uzmanlaşmış iş birimlerini hedefleyen genişleyen bir kapsamı gösteriyor ve çeşitli işletme sektörlerinde kalıcı ilk erişim oluşturma niyetini vurguluyor. [PDF'deki grafiğe bakınız]

ShinyHunters için SSO platformu kontrol düzlemidir. Bir kimlik ele geçirildikten sonra, saldırganlar hızla merkezi kimlik sağlayıcı (IdP) kontrol panelinden bağlı SaaS platformlarına (Microsoft 365, SharePoint ve Salesforce gibi) geçerek hassas verileri ve iç iletişimleri dışarı sızdırırlar. Bulut ölçeğinde gerçekleştirilen bu veri hırsızlığı, daha sonraki şantaj talepleri için gerekli kaldıraç gücünü sağlar.

Bu altyapı kayıtlarında tespit edilen temel operasyonel model, hedef şirketin adıyla başlayan ve ardından belirli kimlik avı tuzaklarına göre uyarlanmış değişken son eklerle devam eden yeni kayıtlı alan adlarının kullanılmasıdır.

Bu kampanyalar, kimlik bilgilerinin ele geçirilmesi, çok faktörlü kimlik doğrulamanın (MFA) atlatılması ve bunun sonucunda kurumsal altyapıya ve bulut/SaaS platformlarına yetkisiz erişim gibi ciddi riskler taşımaktadır.

Sağlık-ISAC, istihbarat ortaklarının, meşru şirketi taklit eden altyapı kullanılarak oluşturulmuş benzer ve kimlik taklit alan adlarına ilişkin bilgiler paylaşmasının ardından, çeşitli kuruluşlara Hedefli Uyarılar gönderdi. Bu durum, kullanıcıların kimlik bilgilerinin meşru şirket giriş portallarına benzeyen sayfalarda ele geçirilmesine yol açmıştı.

 

Makaleler

Gözlemlenen tehdit faaliyetleri, geçerli kurumsal kimlik bilgilerini ve aktif MFA belirteçlerini ele geçirmek için geniş çaplı sosyal mühendislik kampanyaları yürüten, son derece organize ve uyarlanabilir bir tehdit aktörünü ortaya koymaktadır.

Son kampanyalar, ShinyHunters'ın geleneksel bir fidye yazılımı grubu gibi değil, daha çok kimlik ve SaaS erişimi gaspı yapan bir operasyon gibi davrandığını göstermiştir.

Operasyon Öncesi Keşif ve Sesli Dolandırıcılık

İlk aşamalarda, aktörler büyük olasılıkla operasyon öncesi keşif çalışmalarına büyük ölçüde güvenirler ve hedefledikleri çalışanlar ve taklit etmeyi seçtikleri belirli iç departmanlar (örneğin BT yardım masaları veya hukuk birimleri) hakkında kapsamlı araştırmalar yaparlar.

Sahte aramalar yaparak, bilinen kurumsal telefon numaraları üzerinden anında güven oluşturulur ve personelin kurum içi destek işlevlerine yardımcı olma eğiliminden yararlanılır.

Ayrıca, ShinyHunters aktörlerinin agresif davrandıkları, hedef kişileri uyumluluğa zorlamak için sık sık takip mesajları kullandıkları ve kullanıcılara kişisel cihazlarındaki kötü amaçlı bağlantılara giderek kurumsal güvenlik kontrollerini atlamaları talimatını verdikleri gözlemlenmiştir.

Kullanıcı kimlik bilgilerini kimlik avı sitesine gönderdikten sonra, saldırgan ters proxy kimlik avı kitleri kullanarak bu bilgileri gerçek zamanlı olarak meşru kurumsal giriş portalına gönderir. Ardından kurban, telefonda aktif MFA belirtecini vermeye veya bir anlık bildirimi kabul etmeye davet edilir ve bu da saldırgana aktif bir web oturumu sağlar.

Öneriler

Health-ISAC, durumsal farkındalığı artırmak ve kuruluşları güvenlik mekanizmalarının başarılı bir şekilde istismar edilmesini ve bozulmasını önlemeye teşvik etmek amacıyla bu bilgileri sağlamaktadır.

Kuruluşunuz içinde .claim ve .claims üst düzey alan adlarını, meşru altyapı olmadıkları sürece engelleyin.

  • Çalışan Eğitimi ve Farkındalık: Personeli agresif vishing aramaları ve sesli mesaj tuzakları gibi modern sosyal mühendislik taktikleri konusunda eğiten, hedefli güvenlik bilinci eğitimleri uygulayın; benzer alan adlarını nasıl tanımlayacaklarını ve dahili BT iletişimlerini nasıl güvenli bir şekilde doğrulayacaklarını anlamalarını sağlayın.
  • Aygıt Bağlamı Doğrulamasını Zorunlu Kıl: SaaS uygulamalarını, dahili portalları ve API'leri, istemci sertifikaları, EDR sağlık kontrolleri veya MDM profilleri aracılığıyla doğrulanmış, şirket tarafından yönetilen cihazlarla sınırlandırın. Yalnızca kimlik doğrulama, derinlemesine savunma mimarisi olmadan yeterli değildir.
  • Kimlik Avına Karşı Dirençli Çok Faktörlü Kimlik Doğrulama'ya Geçiş: Tüm yöneticiler ve yüksek riskli gruplar için FIDO2/WebAuthn güvenlik anahtarlarını veya parolalarını tercih edin ve SMS/sesli çok faktörlü kimlik doğrulamasını ve zayıf yedekleme yöntemlerini devre dışı bırakın veya sıkı bir şekilde kısıtlayın.
  • Harden Yardım Masası ve Çok Faktörlü Kimlik Doğrulama Sıfırlama İş Akışları: Çok faktörlü kimlik doğrulama (MFA) sıfırlamaları için sıkı kimlik doğrulama zorunluluğu getirin ve çalışanların BT departmanının "gelen aramalarda MFA'yı sıfırlamayacağı" konusunda eğitildiğinden emin olun.
  • Benzer Altyapıyı İzlemeBenzer alan adı kayıtlarını, yeni gözlemlenen alan adlarını (NOD'lar) ve kurumsal tek oturum açma hizmetlerini hedefleyen markalı alt alan adlarını takip edin.
  • Oturum YönetimiKullanıcı iş akışlarını etkin bir şekilde desteklerken güvenliği de sağlayan oturum zaman aşımı süreleri belirleyin, uyumsuz kullanıcılar için kimlik sağlayıcısının görünürlüğünü kısıtlayın.

Health-ISAC, güvenlik mekanizmanızın başarılı bir şekilde istismar edilmesini ve bozulmasını önlemek için bu bilgileri sağlamaktadır. Daha fazla bilgi için, Sağlık Sektörü Siber Güvenlik Uygulamaları (HICP): Tehditleri Yönetme ve Hastaları Koruma başlıklı yayına bakınız.

Referanslar

Sağlık Sektörü Siber Güvenlik Uygulamaları (HICP): Tehditleri Yönetme ve Hastaları Koruma

TLP WHITE: ShinyHunters Bağlantılı Sosyal Mühendislik ve Kimlik Hedefleme

Shiny Hunters'ın Sağlık Sektörüne Etkisi ve Önerilen Azaltma Stratejileri

ShinyHunters Markalı SaaS Veri Hırsızlığının Yayılımının Takibi

 

TLP:WHITE: Standart telif hakkı kurallarına tabi olmak kaydıyla, TLP:WHITE bilgileri kısıtlama olmaksızın dağıtılabilir.

Sağlık Sektörleri Arası İşbirliği: Sağlık Alanında Gizli Radyo Yayınları - Sağlık-ISAC
Herkes Hatalarınızı Bulabildiğinde: Yapay Zeka Sonrası Tıbbi Cihaz Güvenliği