ShinyHunters cible le secteur santé via vishing et compromission SSO pour extorsion par exfiltration

Sun, 02 Aug 2026 00:00:00 +0200

🏥 Contexte

Publié le 22 juillet 2026 par Health-ISAC (TLP:WHITE, Alert ID: a1c5fe47), ce bulletin de menace signale une augmentation observée des attaques réussies du groupe ShinyHunters contre des organisations du secteur de la santé.

🎯 Acteur et mode opératoire

ShinyHunters opère désormais comme une opération d’extorsion centrée sur l’identité et l’accès SaaS, s’éloignant du modèle ransomware traditionnel. La chaîne d’attaque répétable documentée est la suivante :

Vishing (ingénierie sociale vocale) ciblant des employés
Réinitialisation MFA ou ré-enrôlement de device via le helpdesk compromis
Prise de contrôle de compte SSO (Microsoft Entra ID, Okta, Google)
Pivot vers les plateformes SaaS connectées (Microsoft 365, SharePoint, ServiceNow, etc.)
Exfiltration massive de données à des fins de levier d’extorsion

📋 Détails techniques

Dans des incidents récents, ShinyHunters a revendiqué le vishing de plusieurs employés menant à la compromission d’un compte Microsoft Entra SSO, suivi de vols de données depuis des plateformes SaaS et internes (Microsoft 365/SharePoint et autres services d’entreprise). Le groupe exploite le fait que le SSO constitue le plan de contrôle central, permettant un accès à grande échelle aux données cloud.

SaaS Extortion on CyberVeille

ShinyHunters cible le secteur santé via vishing et compromission SSO pour extorsion par exfiltration

🏥 Contexte

🎯 Acteur et mode opératoire

📋 Détails techniques