ShinyHunters colpisce la sanità e il suo nome alimenta false sextortion

🛡️ Executive Summary

• Health-ISAC registra un aumento degli attacchi ShinyHunters contro aziende sanitarie e medtech attraverso vishing e takeover degli account SSO.
• Gli aggressori manipolano utenti e help desk per reimpostare password, sostituire i fattori MFA e raggiungere Microsoft 365, SharePoint e altri servizi SaaS.
• In Italia circola separatamente una falsa campagna di sextortion che usa il nome ShinyHunters, ma non risulta gestita dal vero gruppo estorsivo.

ShinyHunters sta intensificando gli attacchi contro organizzazioni sanitarie e aziende medtech, concentrandosi sul furto delle identità cloud invece che sulla tradizionale cifratura ransomware. Secondo Health-ISAC, la catena parte da telefonate di vishing rivolte a dipendenti e help desk, prosegue con il reset delle password o dei fattori MFA e culmina nella compromissione di account Microsoft Entra, Okta o Google. Parallelamente, il CERT-AGID ha rilevato per la prima volta in Italia una falsa campagna di sextortion che sfrutta il nome del gruppo per chiedere 2.000 dollari in Bitcoin. I due fenomeni devono rimanere distinti: il primo descrive operazioni reali attribuite a ShinyHunters, il secondo una truffa opportunistica che ne imita la reputazione.

ShinyHunters aumenta la pressione sul settore sanitario

Health-ISAC ha segnalato un incremento degli attacchi riusciti contro strutture sanitarie, fornitori di tecnologie mediche e organizzazioni che conservano dati clinici, finanziari e identificativi. L’allerta non indica il numero esatto degli incidenti né una finestra temporale completa, ma descrive uno schema ricorrente emerso dalle segnalazioni più recenti. ShinyHunters non cerca necessariamente di distribuire un ransomware o bloccare gli ospedali: punta invece a impossessarsi delle identità aziendali, raggiungere gli archivi cloud e sottrarre rapidamente informazioni da utilizzare come leva estorsiva. BleepingComputer collega al gruppo recenti incidenti che avrebbero interessato Medtronic, DentaQuest, iRhythm e One Medical, ma Health-ISAC precisa che non tutte le rivendicazioni criminali risultano verificate. Il dato operativo più importante non è quindi l’elenco delle vittime dichiarate, ma la ripetizione della stessa catena basata su social engineering, accesso SSO e furto massivo dai servizi SaaS. La capacità del gruppo di colpire istituzioni e organizzazioni differenti era già emersa quando ShinyHunters aveva rivendicato attacchi contro il Consiglio d’Europa e scuole statunitensi, dimostrando un interesse costante verso ambienti che concentrano informazioni appartenenti a grandi comunità.

Il vishing trasforma l’help desk nel punto di ingresso

La catena descritta da Health-ISAC inizia normalmente con una telefonata nella quale l’aggressore impersona un dipendente, un amministratore o un collaboratore che ha perso l’accesso all’account. L’obiettivo è convincere il personale di assistenza a reimpostare la password, disattivare un fattore MFA, registrare un nuovo dispositivo oppure modificare il numero telefonico associato all’identità. I kit di phishing utilizzati nelle campagne più evolute possono essere controllati in tempo reale durante la conversazione, consentendo all’operatore di modificare schermate, richieste e messaggi mentre la vittima segue le istruzioni. Una volta completato il reset, ShinyHunters accede al portale SSO e utilizza il pannello come una mappa delle applicazioni disponibili. Da una sola identità compromessa può quindi raggiungere Microsoft 365, SharePoint, Salesforce, Slack, DocuSign, Atlassian, Dropbox, Google Drive e altri servizi collegati. Questa modalità continua il modello osservato nelle campagne di vishing e data breach attribuite a UNC6040, dove il telefono diventava lo strumento per superare controlli tecnici altrimenti difficili da aggirare.

L’account SSO diventa la chiave dell’intero cloud

Health-ISAC definisce il sistema SSO il piano di controllo dell’organizzazione, perché una singola sessione autenticata può offrire accesso a decine di applicazioni e archivi. Una volta entrati, gli aggressori cercano grandi volumi di dati, nuovi token OAuth, documenti condivisi e servizi che permettano di ampliare la compromissione senza dover violare nuovamente l’endpoint. Nelle segnalazioni recenti ShinyHunters avrebbe sottratto informazioni da Microsoft 365, SharePoint e altre piattaforme aziendali dopo avere compromesso un account Microsoft Entra. Il vantaggio dell’attacco cloud è la velocità: file e cartelle possono essere enumerati e scaricati attraverso API legittime, mentre le attività possono apparire come normali operazioni di un utente autorizzato. Il settore sanitario offre un bersaglio particolarmente redditizio perché una sola identità può raggiungere dati clinici, documentazione assicurativa, contratti, informazioni finanziarie e proprietà intellettuale medtech. A differenza di una password, diagnosi, trattamenti e informazioni mediche non possono essere sostituiti dopo l’esposizione, problema approfondito nella guida sul valore dei dati sottratti e sulle conseguenze di data breach e data leak.

La difesa deve interrompere il reset durante la telefonata

La misura prioritaria indicata da Health-ISAC consiste nel separare la richiesta iniziale dalla modifica effettiva dell’identità. Gli operatori dell’help desk non dovrebbero reimpostare password, MFA o dispositivi durante la stessa chiamata ricevuta dall’utente. La procedura deve prevedere l’apertura di un ticket e una richiamata verso un numero già verificato nei sistemi aziendali, accompagnata dall’approvazione di un responsabile quando la richiesta riguarda dirigenti, amministratori, personale finanziario o addetti alla sicurezza. L’autenticazione tramite SMS o telefonata deve essere disabilitata o fortemente limitata, mentre gli account a rischio elevato dovrebbero adottare chiavi FIDO2 o WebAuthn, resistenti al phishing e non trasferibili attraverso una semplice conversazione. Anche la registrazione di un nuovo fattore MFA deve richiedere un dispositivo gestito, una posizione coerente e controlli di accesso condizionale. La formazione generica sul phishing non basta: help desk e utenti devono esercitarsi su scenari vocali nei quali l’interlocutore conosce già nomi, ruoli e dati personali ottenuti da fonti pubbliche o violazioni precedenti.

I log SaaS devono essere trattati come telemetria endpoint

Le organizzazioni sanitarie devono centralizzare nel SIEM i log di accesso e audit prodotti da Microsoft Entra, Okta, Google e dalle principali applicazioni SaaS. Gli eventi da monitorare comprendono nuove registrazioni MFA, enrollment di dispositivi, reset effettuati dall’help desk, consensi OAuth insoliti, creazione di applicazioni, download massivi, interrogazioni API anomale, regole di inoltro della posta e modifiche delle deleghe. Il controllo deve estendersi anche ai token e ai service principal utilizzati dalle integrazioni di terze parti, perché ShinyHunters ha già sfruttato compromissioni della supply chain per ottenere token OAuth validi verso piattaforme come Salesforce e Snowflake. Quando viene rilevato un account compromesso, la semplice modifica della password non è sufficiente: occorre revocare le sessioni attive e i refresh token, rimuovere i nuovi fattori MFA, disabilitare le applicazioni OAuth sospette e verificare quali archivi siano stati raggiunti. La risposta deve avvenire rapidamente, poiché l’esfiltrazione può concludersi prima che il team abbia rilevato un malware o un movimento laterale tradizionale.

La sextortion italiana usa soltanto il nome ShinyHunters

Il CERT-AGID ha rilevato il 28 luglio una campagna di falsa sextortion già circolante a livello internazionale da aprile 2026 e osservata per la prima volta anche in Italia. Le email sostengono che ShinyHunters abbia infettato il dispositivo della vittima, acquisito il controllo di webcam e microfono e registrato video compromettenti durante la consultazione di siti per adulti. Il messaggio minaccia di inviare il materiale a familiari, amici e colleghi se il destinatario non versa 2.000 dollari in Bitcoin entro 48 ore dall’apertura dell’email. Lo schema ricalca le normali campagne di sextortion senza prove: non contiene il presunto video, non dimostra la compromissione del computer e usa pressione psicologica, vergogna e urgenza per impedire una verifica razionale. La scelta del nome ShinyHunters serve a rendere credibile la minaccia sfruttando la notorietà di un gruppo realmente coinvolto in data breach internazionali. Il CERT-AGID chiarisce però che gli autori si stanno soltanto spacciando per ShinyHunters e non attribuisce la campagna al gruppo originale.

Il vero gruppo e gli imitatori perseguono obiettivi differenti

La sovrapposizione temporale tra l’allerta sanitaria e le email italiane può generare una confusione pericolosa. Il vero ShinyHunters utilizza vishing, compromissione delle identità, token OAuth e accesso ai servizi SaaS per sottrarre dati aziendali che possono essere dimostrati attraverso campioni, screenshot o pubblicazioni sui leak site. La falsa sextortion non richiede invece alcuna intrusione: invia lo stesso racconto a un grande numero di destinatari e spera che qualcuno paghi per paura.

Nel primo caso l’organizzazione deve attivare incident response, revocare sessioni, analizzare i log cloud e verificare l’esfiltrazione; nel secondo il destinatario non deve rispondere, pagare o aprire eventuali allegati, ma deve segnalare il messaggio e conservarlo soltanto se necessario per una denuncia. Attribuire la truffa al vero gruppo conferirebbe agli imitatori una capacità tecnica che non hanno dimostrato, mentre trattare una reale compromissione SaaS come semplice spam potrebbe ritardare il contenimento.

La sanità deve proteggere l’identità prima del dato

Nella raccomandazione di Health-ISAC sugli attacchi ShinyHunters, il passaggio decisivo non è la cifratura di un server ma la conquista dell’identità che apre l’accesso ai servizi cloud e conferma l’aumento delle segnalazioni nel settore sanitario senza trasformare in fatti verificati tutte le rivendicazioni del gruppo. La segnalazione italiana del CERT-AGID documenta invece un abuso del nome ShinyHunters privo di legami dimostrati con le operazioni reali. La stessa reputazione criminale produce quindi due minacce diverse: da una parte un gruppo che ruba dati sanitari attraverso il cloud, dall’altra truffatori che non devono violare alcun sistema perché sfruttano soltanto la paura generata da quel nome.