Health-ISACが警告、ShinyHuntersによる医療データ窃取攻撃が増加

医療業界の組織に対し、脅威グループShinyHuntersによる攻撃が増加していると警告が発せられました。ランサムウェア攻撃者とは異なり、ShinyHuntersはサプライチェーン攻撃やID侵害攻撃を実行し、クラウドのSaaSやストレージプラットフォームを標的にしています。同グループはクラウド規模のデータ窃取に主眼を置いており、初期侵入は音声ベースのソーシャルエンジニアリング(ビッシング)によってパスワードやMFAをリセットさせたり、新しいデバイスを登録させたりする手口で行われるのが一般的です。Health-ISACが最近発したサイバーセキュリティ警告で明らかにされました。

アカウントへのアクセス権を獲得すると、攻撃者は組織のOkta、Microsoft Entra、GoogleのSSOダッシュボードにログインします。ここにはアカウント保有者がアクセスできるMicrosoft 365、Salesforce、Dropbox、Google Driveといったサードパーティ製プラットフォームがすべて一覧表示されています。データは速やかに窃取され、被害者にはデータ窃取の事実が伝えられます。ShinyHuntersは、盗んだデータを自グループのダークウェブ上のリークサイトに公開しないことと引き換えに、身代金の支払いを要求します。

ここ数か月、ShinyHuntersは複数の医療・医療テクノロジー企業への攻撃に成功しています。対象には医療機器メーカーのMedtronicやiRhythm、さらにOneMedical、DentaQuest、AdaptHealth、Him & Hersなどが含まれます。Health-ISACの説明によると、ある医療業界組織への最近の攻撃では、ShinyHuntersが複数の従業員に対してビッシング攻撃を実施したと主張しており、これによりMicrosoft Entraアカウントが侵害され、Microsoft 365やSharePointといったSaaSおよび社内プラットフォームから大量の企業データが窃取されたとされています。

Health-ISACは、こうした攻撃キャンペーンに対する防御力を高めるため、医療・医療テクノロジー企業向けに実践的かつ効果の高い推奨事項を公開しています。中でも最も重要なのは、ビッシングの電話からSSOアカウント乗っ取りへと至る攻撃の連鎖を断ち切ることです。ヘルプデスクやIAMサポートの業務フローは、パスワードやMFAのリセット、デバイスの再登録を行う際に帯域外での本人確認を必須とすることで強化できます。事前に確認済みの番号への折り返し電話によるリクエストの検証と、権限を持つユーザーについては管理者による承認を求める手順を導入すべきです。同一の着信電話の中でパスワード/MFAのリセットやデバイスの再登録を完結できないようにする必要があります。

リセット悪用に対するMFAセキュリティを強化するため、管理者や高リスクグループに対して、そして理想を言えば全ユーザーに対して、フィッシング耐性のあるMFA(FIDO2/WebAuthnセキュリティキーまたは同等のもの)を導入すべきです。SMSや音声によるMFAといった脆弱な代替手段は無効化するか厳格に制限し、MFA要素の登録についても厳密な管理を導入する必要があります。

標的となっているSSOは王国への鍵を提供するシステムであるため、Health-ISACはこれらのシステムを最重要度の企業資産である「Tier 0」に分類することを推奨しています。具体的には、機密性の高いクラウドサービスへのアクセスにMFAと準拠デバイスを必須とし、レガシー認証をブロックし、管理者ポータルへのアクセスを管理下にあるデバイスに限定し、地理的な移動速度/不可能な移動のチェックを導入すべきだとしています。

恐喝はデータ窃取があって初めて成立するため、アカウント乗っ取りや大規模なデータアクセスの兆候をログで綿密に監視することが不可欠です。Health-ISACは、Microsoft Entraのサインインログ、監査ログ、SaaS監査ログをSIEMに集約し、新規デバイスの登録、MFA要素の登録、OAuthリセットイベント、新規OAuthアプリや不審な同意付与、通常と異なる大量ダウンロード、非定型なAPI呼び出し、新たな転送ルールやメールボックス委任の変更についてアラートを設定することを推奨しています。

医療機関の従業員は従来型のフィッシング攻撃には慣れていても、ビッシングにはあまり馴染みがない場合があります。ビッシングをセキュリティ意識向上トレーニングプログラムに組み込み、従業員に対してビッシングのシミュレーションを実施することも検討すべきです。特に権限を持つアカウントの保有者、ヘルプデスクのIT担当者、新入社員、リモートワーカーを対象にすることが望まれます。

Health-ISACは、これらの推奨事項の実施に30日から60日という期間を設けることを勧めており、まずは高リスクユーザー向けのフィッシング耐性MFAの導入、ヘルプデスクのリセット手順の強化、条件付きアクセスポリシーの徹底から着手すべきだとしています。加えて、侵害されたクラウドアカウントを封じ込めるための(トークン/セッションの失効を含む)机上演習も実施すべきとしています。