Health-ISACが警告、ShinyHunterによる医療機関へのデータ窃取攻撃が増加

Health-ISACは、医療機関や医療テクノロジー企業を標的としたShinyHunterによる攻撃が成功件数を増やしていると警告しています。同グループはソーシャルエンジニアリングを駆使してシングルサインオン(SSO)アカウントを侵害し、クラウドサービスからデータを窃取しているといいます。

ShinyHunterは恐喝を目的とする攻撃グループで、主にサプライチェーン攻撃とアイデンティティ攻撃によってクラウドSaaSやストレージプラットフォームに侵入し、データを窃取する手口を得意としています。

この2年間、同グループはサードパーティの連携パートナーを狙ったサプライチェーン攻撃を数多く実行してきたことで知られています。こうした侵害によって、SalesforceやSnowflakeといったSaaSプロバイダーとの連携に使われるSnowflakeのOAuthトークンへのアクセスを得ています。

同グループはアイデンティティ攻撃でも知られており、ビッシング(音声を使ったフィッシング)やフィッシングといったソーシャルエンジニアリングによって従業員を標的にし、企業のシングルサインオンアカウントを侵害します。アカウントへのアクセスを獲得すると、攻撃者は組織のOkta、Microsoft Entra、あるいはGoogleのSSOダッシュボードにログインします。このダッシュボードは、ユーザーがアクセス権限を持つすべてのSaaSアプリケーションを一覧表示する中央ハブとして機能します。

これらのアプリケーションには、ShinyHunterの主要な標的であるSalesforceのほか、Microsoft 365、SharePoint、DocuSign、Slack、Atlassian、Dropbox、Google Driveなど、社内外の数多くのプラットフォームが含まれます。

データ窃取と恐喝を目的とする攻撃者にとって、このSSOダッシュボードは企業のクラウドデータへの足がかりとなり、単一の侵害されたアカウントから複数のサービスにアクセスできるようになります。

ヘルプデスクとSSOセキュリティの強化

7月24日付の勧告によると、ShinyHunterの攻撃は、従業員やヘルプデスク担当者を欺いてパスワードのリセット、多要素認証方式の変更、新規デバイスの登録を行わせるビッシング(音声フィッシング)から始まる一連の流れをたどるといいます。

BleepingComputerは以前、ShinyHunterが独自開発のフィッシングキットを使用していると報じました。これは音声ベースのソーシャルエンジニアリング(ビッシング)攻撃向けに構築されたものです。

これらのフィッシングキットは、標的となる従業員との音声通話によるリアルタイムのやり取りを想定して設計されており、攻撃者は通話が進行する中で表示内容を変更したり、認証ダイアログをリアルタイムで表示させたりすることが可能です。

アカウントが侵害されると、攻撃者はそれを利用して連携されているSaaSプラットフォームにアクセスし、恐喝に使えるデータを迅速に窃取します。

Health-ISACは「SSOはコントロールプレーンであり、ShinyHunterの強みはクラウド規模でのデータ窃取によって生み出されている」と警告しています。

この勧告では、影響を受けた医療機関の名称は明らかにされておらず、確認されたインシデントの件数や、報告されている増加傾向の期間についても言及されていません。

しかし、BleepingComputerは、Medtronic、DentaQuest、iRhythm、OneMedicalなど、医療・医療テクノロジー企業に対する最近のShinyHunterによる攻撃を把握しています。

Health-ISACによると、最近報告されたインシデントの中で、ShinyHunterは複数の従業員へのビッシングに成功し、Microsoft EntraのSSOアカウントを侵害した上で、Microsoft 365、SharePoint、その他の企業向けプラットフォームからデータを窃取したと主張しているといいます。

ただし同団体は、すべてのデータ窃取の主張が検証されているわけではないと注意を促した上で、防御側は侵害されたSSOアイデンティティを悪用して連携先のクラウドサービスからデータにアクセス・持ち出しを行うという攻撃パターンそのものに注目すべきだとしています。

Health-ISACは、最初のビッシング電話からSSOアカウントの乗っ取りへと至る攻撃チェーンを断ち切ることが、最も重要な防御策であるとしています。

組織に対しては、パスワードリセット、MFAリセット、デバイスの再登録リクエストについて、帯域外(アウトオブバンド)での本人確認を義務付けるよう推奨されています。

これには、事前に確認済みの電話番号を使ってユーザーに折り返し電話をかけることや、特権アカウントについては管理者の承認を必須とすることが含まれます。

この勧告ではまた、ヘルプデスク担当者が「同一通話内でのリセット禁止」方針に従うことも推奨されています。これは、着信通話の最中にリセットを行うことを禁止するもので、リセット要求にはサポートチケットの発行と、確認済みの折り返し連絡を経てからでなければ変更を行わないことを求めるものです。

役員、IT管理者、セキュリティ担当者、財務部門の従業員など、リスクの高いユーザーに関する変更要求については、追加の本人確認を必須とすべきとしています。

医療機関はまた、管理者、ヘルプデスク担当者、役員など、リスクの高いグループに対して、FIDO2やWebAuthnのセキュリティキーといったフィッシング耐性のあるMFAを導入すべきだとしています。

SMSや音声ベースの認証は無効化するか厳しく制限すべきです。同時に、新規MFA要素の登録には、管理対象デバイスや条件付きアクセスポリシーといった追加の制御を必須とすべきとしています。

Health-ISACはまた、SSOシステムを組織内で最も重要な資産を意味する「Tier 0」として扱うことも推奨しています。

これには、機密性の高いクラウドサービスへのアクセス時にMFAと準拠デバイスを必須とすること、レガシー認証をブロックすること、地理的に不自然な変化を伴うセッションを検知すること、管理ポータルへのアクセスを管理対象デバイスに限定することが含まれます。

クラウドデータ窃取の検知

Health-ISACは、アイデンティティおよびSaaSの監査ログを一元化し、新規のMFA登録、新たに登録されたデバイス、不審なOAuth付与、異常なAPIアクティビティ、大量のファイルダウンロードなど、アカウント乗っ取りや大規模なデータアクセスの兆候を監視するよう推奨しています。

組織はまた、APIトークンやサードパーティ連携を制限し、機密データへのアクセスには承認を必須とすべきです。さらに、インシデント対応チームがアクティブなセッションを迅速に無効化し、認証情報をリセットし、悪意あるOAuthアプリケーションを停止できる体制を整えるべきだとしています。

今後30日から60日の間に、医療機関はリスクの高いユーザーに対するフィッシング耐性MFAの導入を優先し、ヘルプデスクのリセット手順を強化し、条件付きアクセスポリシーを徹底し、侵害されたクラウドアカウントを封じ込める能力をテストするよう強く求められています。