ShinyHunters-Angriffe auf das Gesundheitswesen sorgen für neue Bedenken wegen Cloud-Datendiebstahl

Health-ISAC hat Organisationen im Gesundheitswesen und in der Medizintechnik vor einer Zunahme von ShinyHunters-Angriffen auf den Gesundheitssektor gewarnt. Die Erpressergruppe nutzt Voice-Phishing, auch Vishing genannt, um Mitarbeiterkonten zu übernehmen und auf Cloud-Plattformen mit sensiblen Unternehmensdaten zuzugreifen.

Die Warnung zeigt, wie ein einziges kompromittiertes Single-Sign-on-Konto (SSO) Angreifern Zugriff auf mehrere verbundene Dienste ermöglichen kann. Dazu gehören Microsoft 365, SharePoint, Salesforce, Google Drive und andere weit verbreitete Unternehmensplattformen.

ShinyHunters konzentriert sich auf Identitäten und Cloud-Dienste

ShinyHunters ist eine Erpressergruppe, die sich durch Lieferkettenangriffe und identitätsbasierte Angriffe einen Namen gemacht hat. Ihre Kampagnen konzentrieren sich häufig auf SaaS-Plattformen in der Cloud, Speicherdienste und Integrationen von Drittanbietern.

In den vergangenen zwei Jahren hat die Gruppe auch Integrationspartner ins Visier genommen, um OAuth-Token zu erbeuten. Diese Token können Unternehmensanwendungen und Cloud-Dienste miteinander verbinden und so einen weiteren Weg zu Unternehmensdaten eröffnen.

Die jüngste Warnung konzentriert sich jedoch auf Social Engineering. Die Angreifer nehmen Mitarbeiter und Helpdesk-Personal mit Phishing-Anrufen und gefälschten Supportanfragen ins Visier.

Ein gestohlenes SSO-Konto kann viele Türen öffnen

Sobald ShinyHunters Zugriff auf das Konto eines Mitarbeiters erhält, kann die Gruppe möglicherweise auch auf das SSO-Dashboard der Organisation zugreifen. Dienste wie Okta, Microsoft Entra und Google SSO fungieren häufig als zentrale Anlaufstelle für genehmigte Anwendungen.

Von dort aus können die Angreifer Plattformen wie Microsoft 365, SharePoint, Salesforce, DocuSign, Slack, Atlassian, Dropbox und Google Drive erreichen.

Das macht SSO-Konten zu attraktiven Zielen. Eine einzige gestohlene Identität kann Kriminellen Zugang zu großen Datenmengen über mehrere Cloud-Dienste hinweg verschaffen.

Laut Health-ISAC können Angreifer diesen Zugriff nutzen, um schnell Daten zu sammeln, bevor sie von der betroffenen Organisation eine Zahlung fordern.

Vishing-Kampagnen setzen Mitarbeiter und Helpdesks unter Druck

Die Angriffe der Gruppe beginnen häufig mit einem Telefonanruf. Die Angreifer können sich als Mitarbeiter, IT-Fachkraft oder andere vertrauenswürdige Person ausgeben. Anschließend versuchen sie, das Personal dazu zu bringen, ein Passwort zurückzusetzen, MFA-Einstellungen zu ändern oder ein neues Gerät zu registrieren.

Laut Health-ISAC soll ShinyHunters speziell entwickelte Phishing-Kits für Vishing-Angriffe in Echtzeit eingesetzt haben. Diese Tools können Authentifizierungsseiten und Eingabeaufforderungen während eines laufenden Gesprächs in Echtzeit verändern.

Dieser Ansatz macht den Betrug schwerer erkennbar. Der Angreifer kann das Gespräch an die Reaktionen des Opfers anpassen. Dadurch steigt die Wahrscheinlichkeit, dass ein Helpdesk-Mitarbeiter oder ein anderer Beschäftigter eine unsichere Änderung genehmigt.

Die Warnung nennt weder betroffene Organisationen noch die Zahl der Vorfälle, die ihr zugrunde liegen. Jüngste Berichte haben Aktivitäten von ShinyHunters jedoch mit Unternehmen aus dem Gesundheitswesen und der Medizintechnik in Verbindung gebracht, darunter Medtronic, DentaQuest, iRhythm und One Medical.

Helpdesk-Verfahren sind eine wichtige Verteidigungslinie

Health-ISAC zufolge besteht die Priorität darin, die Kette zwischen dem ersten Telefonanruf und der Übernahme eines SSO-Kontos zu unterbrechen.

Organisationen sollten eine separate Identitätsprüfung verlangen, bevor Passwörter zurückgesetzt, MFA-Methoden geändert oder neue Geräte registriert werden. Supportteams können Nutzer beispielsweise über eine zuvor verifizierte Telefonnummer zurückrufen, anstatt sich auf die während eines eingehenden Anrufs angegebenen Informationen zu verlassen.

Auch eine Richtlinie, die Sicherheitsänderungen während desselben Anrufs untersagt, kann das Risiko reduzieren. Dabei nimmt das Helpdesk-Personal keine sicherheitsrelevanten Änderungen vor, solange der Anrufer noch in der Leitung ist. Stattdessen wird ein Support-Ticket erstellt und ein separater Verifizierungsprozess durchgeführt, bevor Änderungen vorgenommen werden.

Zusätzliche Kontrollen sollten für Führungskräfte, IT-Administratoren, Sicherheitspersonal, Finanzteams und andere besonders gefährdete Nutzer gelten.

Phishing-resistente MFA sollte Priorität haben

Health-ISAC empfiehlt phishing-resistente MFA für Administratoren, Helpdesk-Personal, Führungskräfte und andere sensible Rollen. Sicherheitsschlüssel auf Basis von FIDO2 und WebAuthn können einen stärkeren Schutz bieten als die Authentifizierung per SMS oder Sprachanruf.

Organisationen im Gesundheitswesen sollten die Authentifizierung per SMS und Sprachanruf deaktivieren oder stark einschränken. Außerdem sollten strengere Kontrollen gelten, wenn Nutzer eine neue MFA-Methode oder ein neues Gerät registrieren.

Richtlinien für bedingten Zugriff können zusätzlich helfen, indem sie verwaltete Geräte und eine stärkere Verifizierung verlangen, bevor der Zugriff auf sensible Cloud-Dienste erlaubt wird.

Health-ISAC fordert Organisationen außerdem dazu auf, SSO-Umgebungen als Tier-0-Ressourcen zu behandeln. In der Praxis bedeutet dies, die stärksten Sicherheitskontrollen auf Identitätssysteme anzuwenden, die den Zugriff auf große Teile des Unternehmens ermöglichen können.

Cloud-Plattformen auf Anzeichen von Datendiebstahl überwachen

Sicherheitsteams sollten Audit-Logs aus Identitäts- und SaaS-Systemen zentralisieren, um verdächtige Aktivitäten besser erkennen zu können. Sie sollten neue MFA-Registrierungen, unbekannte Geräte, verdächtige OAuth-Berechtigungen, ungewöhnliche API-Aktivitäten und große Datei-Downloads untersuchen.

Organisationen sollten außerdem API-Token und Integrationen von Drittanbietern überprüfen. Der Zugriff auf sensible Daten sollte eingeschränkt, überwacht und bei Bedarf genehmigt werden.

Incident-Response-Teams müssen darauf vorbereitet sein, aktive Sitzungen schnell zu widerrufen, Zugangsdaten zurückzusetzen und schädliche OAuth-Anwendungen zu deaktivieren.

Für die kommenden 30 bis 60 Tage empfiehlt Health-ISAC Organisationen im Gesundheitswesen, sich auf phishing-resistente MFA, strengere Helpdesk-Verfahren, Kontrollen für bedingten Zugriff und getestete Reaktionspläne für Cloud-Konten zu konzentrieren.