Health-ISAC Peringatkan Lonjakan Serangan ShinyHunters terhadap Organisasi Kesehatan

Health Information Sharing and Analysis Center (Health-ISAC) mengeluarkan peringatan kepada organisasi layanan kesehatan dan perusahaan teknologi medis mengenai meningkatnya aktivitas kelompok peretas ShinyHunters yang berfokus pada pencurian data melalui serangan terhadap identitas digital dan layanan cloud.

Kelompok ini dikenal menggunakan teknik social engineering, termasuk voice phishing (vishing) dan phishing, untuk mengambil alih akun Single Sign-On (SSO) sebelum mencuri data dari berbagai platform Software-as-a-Service (SaaS).

Menargetkan Akun Identitas Cloud

Dalam beberapa tahun terakhir, ShinyHunters semakin dikenal karena melakukan serangan terhadap rantai pasok (supply chain), khususnya pada mitra integrasi pihak ketiga.

Melalui serangan tersebut, pelaku berupaya memperoleh OAuth token yang digunakan untuk menghubungkan berbagai layanan cloud seperti Salesforce maupun Snowflake.

Selain itu, mereka juga aktif menyasar akun identitas perusahaan dengan memanipulasi karyawan maupun petugas helpdesk agar memberikan akses ke akun perusahaan.

Setelah berhasil menguasai satu akun, pelaku masuk ke portal Microsoft Entra, Okta, atau Google SSO, yang berfungsi sebagai pusat akses ke berbagai aplikasi cloud perusahaan.

Satu Akun, Akses ke Banyak Layanan

Health-ISAC menegaskan bahwa dashboard SSO menjadi target utama karena satu akun yang berhasil diambil alih dapat membuka akses ke banyak layanan sekaligus.

Beberapa layanan yang umum menjadi sasaran antara lain:

• Microsoft 365.
• SharePoint.
• Salesforce.
• DocuSign.
• Slack.
• Atlassian.
• Dropbox.
• Google Drive.
• Berbagai aplikasi internal perusahaan lainnya.

Bagi kelompok yang berfokus pada pencurian data dan pemerasan, keberhasilan mengambil alih akun SSO memungkinkan mereka mengakses sejumlah besar data perusahaan dalam waktu singkat.

Modus Mengelabui Helpdesk

Dalam peringatan yang diterbitkan pada 24 Juli 2026, Health-ISAC menjelaskan bahwa serangan ShinyHunters umumnya diawali melalui panggilan telepon kepada karyawan atau petugas helpdesk.

Pelaku mencoba meyakinkan korban untuk:

• Mengatur ulang kata sandi.
• Mengubah metode autentikasi multifaktor (MFA).
• Mendaftarkan perangkat baru.
• Memberikan akses ke akun perusahaan.

BleepingComputer sebelumnya melaporkan bahwa kelompok ini menggunakan phishing kit khusus yang dirancang untuk mendukung serangan vishing secara real-time.

Perangkat tersebut memungkinkan pelaku menyesuaikan tampilan halaman autentikasi selama percakapan telepon berlangsung sehingga korban lebih mudah tertipu.

Menargetkan Organisasi Kesehatan

Health-ISAC tidak menyebutkan secara rinci organisasi mana saja yang terdampak maupun jumlah insiden yang diamati.

Namun, sejumlah perusahaan layanan kesehatan dan teknologi medis diketahui baru-baru ini menjadi sasaran aktivitas yang dikaitkan dengan ShinyHunters, termasuk:

• Medtronic.
• DentaQuest.
• iRhythm.
• OneMedical.

Dalam beberapa insiden, kelompok tersebut mengklaim berhasil mengambil alih akun Microsoft Entra dan mencuri data dari Microsoft 365, SharePoint, serta berbagai layanan cloud perusahaan.

Meski demikian, Health-ISAC mengingatkan bahwa tidak seluruh klaim pencurian data dapat diverifikasi secara independen.

Cara Mencegah Serangan

Health-ISAC menilai langkah paling penting adalah memutus rantai serangan sejak tahap awal, yaitu sebelum pelaku berhasil mengambil alih akun SSO.

Organisasi disarankan menerapkan prosedur tambahan untuk setiap permintaan:

• Reset password.
• Reset MFA.
• Pendaftaran perangkat baru.

Verifikasi identitas sebaiknya dilakukan melalui jalur komunikasi terpisah, misalnya dengan menghubungi kembali pengguna menggunakan nomor telepon yang telah diverifikasi sebelumnya.

Untuk akun dengan hak istimewa tinggi, organisasi juga dianjurkan meminta persetujuan dari atasan sebelum perubahan dilakukan.

Terapkan Kebijakan “No Same-Call”

Health-ISAC juga merekomendasikan kebijakan “no same-call”, yaitu petugas helpdesk tidak diperbolehkan melakukan reset akun selama panggilan telepon yang sama.

Sebaliknya, seluruh permintaan harus dibuat melalui tiket dukungan resmi dan baru diproses setelah proses verifikasi tambahan selesai dilakukan.

Prosedur yang lebih ketat perlu diterapkan khususnya bagi:

• Eksekutif perusahaan.
• Administrator TI.
• Tim keamanan informasi.
• Divisi keuangan.
• Pengguna dengan hak akses tinggi lainnya.

Gunakan MFA yang Tahan Phishing

Sebagai perlindungan tambahan, organisasi kesehatan disarankan mengimplementasikan Multi-Factor Authentication (MFA) yang tahan terhadap phishing, seperti FIDO2 atau WebAuthn Security Key.

Sementara itu, metode autentikasi berbasis SMS maupun panggilan suara sebaiknya dibatasi atau dinonaktifkan karena lebih rentan terhadap rekayasa sosial.

Health-ISAC juga menyarankan agar sistem Single Sign-On diperlakukan sebagai aset Tier 0, yaitu komponen paling kritis dalam infrastruktur organisasi yang harus mendapatkan perlindungan maksimal.

Selain itu, organisasi perlu memusatkan log identitas dan aktivitas layanan cloud untuk mendeteksi indikasi pengambilalihan akun, seperti pendaftaran MFA baru, perangkat yang baru ditambahkan, aktivitas OAuth yang mencurigakan, hingga pengunduhan data dalam jumlah besar.

Dengan meningkatnya aktivitas ShinyHunters terhadap sektor kesehatan, organisasi diharapkan segera memperkuat prosedur helpdesk, menerapkan autentikasi yang lebih aman, serta menguji kemampuan respons insiden agar pencurian data dapat dicegah sebelum meluas.