Health-ISAC memperingatkan meningkatnya serangan pencurian data ShinyHunters terhadap layanan kesehatan

Health-ISAC, sebuah organisasi berbagi informasi keamanan siber untuk sektor kesehatan, memperingatkan organisasi layanan kesehatan dan teknologi medis tentang peningkatan serangan yang berhasil dilakukan oleh ShinyHunters.

ShinyHunters adalah geng pemerasan yang terutama melakukan serangan rantai pasokan dan identitas untuk menembus cloud SaaS dan platform penyimpanan dalam serangan pencurian data,

Selama dua tahun terakhir, pelaku ancaman menjadi terkenal karena melakukan banyak tindakan serangan rantai pasokan terhadap mitra integrasi pihak ketiga. Pelanggaran ini memberi mereka akses ke token OAuth yang digunakan untuk berintegrasi dengan penyedia SaaS seperti Salesforce dan Kepingan salju.

Pelaku ancaman dikenal karena serangan identitasnya, di mana mereka menargetkan karyawan melalui rekayasa sosial, termasuk vishing dan phishing menyusupi akun sistem masuk tunggal perusahaan. Setelah mereka mendapatkan akses ke akun, mereka masuk ke dasbor Okta, Microsoft Entra, atau Google SSO organisasi, yang bertindak sebagai hub terpusat yang mencantumkan semua aplikasi SaaS yang izin aksesnya dimiliki pengguna.

Aplikasi ini termasuk Salesforce, a target utama ShinyHuntersMicrosoft 365, SharePoint, DocuSign, Slack, Atlassian, Dropbox, Google Drive, dan banyak platform internal dan pihak ketiga lainnya.

Bagi pelaku ancaman yang berfokus pada pencurian dan pemerasan data, dasbor SSO menjadi batu loncatan menuju data cloud perusahaan, sehingga memungkinkan mereka mengakses beberapa layanan dari satu akun yang disusupi.

Memperkuat meja bantuan dan keamanan SSO

Menurut a penasehat 24 JuliSerangan ShinyHunters mengikuti rantai yang dimulai dengan phishing suara (vishing) untuk memanipulasi karyawan atau personel pusat bantuan agar menyetel ulang kata sandi, mengubah metode autentikasi multifaktor, atau mendaftarkan perangkat baru.

BleepingComputer sebelumnya melaporkan hal itu ShinyHunters menggunakan kit phishing khusus dibangun untuk serangan rekayasa sosial (vishing) berbasis suara.

Kit phishing ini dirancang untuk interaksi langsung dengan karyawan yang ditargetkan melalui panggilan suara, memungkinkan penyerang mengubah konten dan menampilkan dialog autentikasi secara real-time saat panggilan berlangsung.

Setelah sebuah akun dibobol, penyerang menggunakannya untuk mengakses platform SaaS yang terhubung, tempat mereka dengan cepat mencuri data yang dapat digunakan untuk pemerasan.

“SSO adalah sarana kendali, dan pengaruh ShinyHunters tercipta melalui pencurian data pada skala cloud,” Health-ISAC memperingatkan.

Peringatan tersebut tidak mengidentifikasi organisasi layanan kesehatan yang terkena dampak, mengungkapkan berapa banyak insiden yang telah diamati, atau memberikan kerangka waktu untuk peningkatan yang dilaporkan.

Namun, BleepingComputer mengetahui serangan ShinyHunters baru-baru ini terhadap perusahaan layanan kesehatan dan medtech, termasuk medtronik, DentaQuest, iritmedan OneMedical.

Health-ISAC mengatakan bahwa dalam pelaporan insiden baru-baru ini, ShinyHunters mengklaim mereka berhasil mencuri beberapa karyawan, meretas akun Microsoft Entra SSO, dan mencuri data dari Microsoft 365, SharePoint, dan platform perusahaan lainnya.

Namun, organisasi tersebut memperingatkan bahwa tidak semua klaim pencurian data telah diverifikasi, dan para pembela HAM sebaiknya fokus pada pola serangan yang menggunakan identitas SSO yang telah disusupi untuk mengakses dan mengambil data dari layanan cloud yang terhubung.

Health-ISAC mengatakan langkah pertahanan yang paling penting adalah memutus rantai serangan antara panggilan vishing awal dan pengambilalihan akun SSO.

Organisasi disarankan untuk mewajibkan verifikasi identitas out-of-band untuk pengaturan ulang kata sandi, pengaturan ulang MFA, dan permintaan pendaftaran ulang perangkat.

Hal ini dapat mencakup menelepon kembali pengguna menggunakan nomor telepon yang telah diverifikasi sebelumnya dan memerlukan persetujuan manajer untuk akun yang memiliki hak istimewa.

Penasihat ini juga merekomendasikan personel pusat bantuan untuk mengikuti kebijakan “tidak ada panggilan yang sama” yang mencegah pengaturan ulang selama panggilan masuk yang sama. Sebaliknya, permintaan pengaturan ulang harus memerlukan tiket dukungan dan panggilan balik terverifikasi sebelum perubahan apa pun dilakukan.

Verifikasi tambahan harus diperlukan ketika perubahan diminta untuk eksekutif, administrator TI, personel keamanan, karyawan keuangan, dan pengguna berisiko tinggi lainnya.

Organisasi layanan kesehatan juga harus menerapkan MFA yang tahan terhadap phishing, seperti kunci keamanan FIDO2 atau WebAuthn, untuk administrator, personel pusat bantuan, eksekutif, dan kelompok berisiko tinggi lainnya.

Otentikasi berbasis SMS dan suara harus dinonaktifkan atau dibatasi secara ketat. Pada saat yang sama, mendaftarkan faktor MFA baru memerlukan kontrol tambahan, seperti perangkat terkelola atau kebijakan akses bersyarat.

Health-ISAC juga merekomendasikan untuk memperlakukan sistem SSO sebagai “Tingkat 0”, yang mewakili aset paling penting dalam sebuah organisasi.

Hal ini termasuk mewajibkan MFA dan perangkat yang patuh saat mengakses layanan cloud sensitif, memblokir autentikasi lama, mendeteksi sesi dengan perubahan geografis yang tidak mungkin terjadi, dan membatasi portal administratif untuk perangkat yang dikelola.

Mendeteksi pencurian data cloud

Health-ISAC merekomendasikan pemusatan log audit identitas dan SaaS serta pemantauan tanda-tanda pengambilalihan akun dan akses data berskala besar, termasuk pendaftaran MFA baru, perangkat yang baru didaftarkan, pemberian OAuth yang mencurigakan, aktivitas API yang tidak biasa, dan pengunduhan file massal.

Organisasi juga harus membatasi token API dan integrasi pihak ketiga, memerlukan persetujuan untuk akses ke data sensitif, dan memastikan tim respons insiden dapat dengan cepat mencabut sesi aktif, menyetel ulang kredensial, dan mematikan aplikasi OAuth yang berbahaya.

Selama 30 hingga 60 hari ke depan, organisasi layanan kesehatan didesak untuk memprioritaskan MFA yang resistan terhadap phishing bagi pengguna berisiko tinggi, memperkuat prosedur pengaturan ulang helpdesk, menerapkan kebijakan akses bersyarat, dan menguji kemampuan mereka untuk membendung akun cloud yang disusupi.