Uvid u rastući rizik prijevara s poklon-bonovima

Gledajući unatrag, Storm-0539 pojačava aktivnost napada uoči velikih praznika. Od ožujka do svibnja 2024., uoči sezone ljetnih godišnjih odmora, Microsoft je uočio da je grupa Storm-0539 za 30 % povećala aktivnost upada u sustave. Od rujna do prosinca 2023., u razdoblju koji se preklapa s jesenskim i zimskim praznicima, uočili smo porast aktivnosti napada od 60 %.

Poklon-bonovi predstavljaju privlačne mete za prijevaru jer, za razliku od kreditnih ili debitnih kartica, ne sadrže imena klijenata niti brojeve bankovnih računa. Microsoft opaža porast aktivnosti grupe Storm-0539 fokusiranih na tu industriju u razdobljima uoči i tokom praznika. Dan sjećanja, Praznik rada i Dan zahvalnosti u Sjedinjenim Američkim Državama, kao i Crni petak i zimski praznici koji se obilježavaju širom svijeta, obično su povezani s povećanom aktivnošću grupe.

Organizacije obično postavljaju ograničenje na gotovinsku vrijednost koja se može izdati po pojedinačnom poklon-bonu. Na primjer, ako ograničenje iznosi 100 000 USD, zlonamjerni akter će izdati karticu za 99 000 USD, a zatim će sebi poslati šifru za poklon-bon i unovčiti je. Njihova primarna motivacija je da ukradu poklon-bonove i ostvare dobit tako što će ih prodati na mreži po sniženoj cijeni. Viđali smo i takve primjere da je u nekim tvrtkama zlonamjerni akter krao i po 100 000 USD dnevno.

Da bi se zaštitile od takvih napada i spriječile ovu grupu da dobije neovlašten pristup odjelima za poklon-bonove, tvrtke koje izdaju poklon-bonove trebaju se odnositi prema portalima s poklon-bonovima kao prema metama visokog rizika. Treba ih pažljivo nadgledati i neprekidno nadzirati radi otkrivanja bilo kakve nepravilne aktivnosti.

Svakoj organizaciji koja izrađuje i izdaje poklon-bonove može koristiti primjena provjera i salda za sprečavanje brzog pristupa portalima s poklon-bonovima i drugim potencijalnim značajnim metama, čak i ako je račun već ugrožen. Neprestano nadgledajte evidencije kako biste identificirali sumnjive prijave i druge uobičajene vektore za početni pristup koji se oslanjaju na ugrožavanje identiteta u oblaku i promijenite pravilnike za uvjetni pristup koji ograničavaju prijave i označavaju rizične prijave.

Organizacije trebaju razmotriti i uvođenje pravilnika za uvjetni pristup kao dopune višestrukoj provjeri autentičnosti jer se na taj način zahtjevi za potvrdu identiteta procjenjuju korištenjem dodatnih signala na osnovu identiteta, kao što su, između ostalog, informacije o lokaciji IP adrese ili status uređaja.

Još jedna taktika koja može olakšati suzbijanje napada je postupak programske provjere korisnika za kupovinu domena. Propisi i pravilnici dobavljača možda ne mogu potpuno širom svijeta spriječiti zlonamjerne propuste u tipkanju, što znači da obmanjujuća web-mjesta mogu i dalje biti popularna za skaliranje računalnih napada. Postupci programske provjere za izradu domena mogu olakšati sprječavanje stvaranja većeg broja web-mjesta koji služe isključivo za obmanjivanje žrtava.

Microsoft je uočio da grupa Storm-0539 osim obmanjujućih naziva domena koristi i zakonite interne liste s adresama kako bi širila poruke s krađom identiteta kada stvori uporište u tvrtki i upozna se s popisima distribucije i drugim standardima poslovanja.

Ne radi se samo o tome da krađa identiteta putem važećih popisa distribucije dodaje još jedan sloj zlonamjernom sadržaju, već omogućava i uspješnije ciljanje za slanje sadržaja većem broju osoba s pristupom akreditivima, odnosima i informacijama na koje se Storm-0539 oslanja radi dobivanja postojanosti i dosega.

Kada korisnici kliknu na veze koje se nalaze u e-porukama ili tekstualnim porukama s krađom identiteta, preusmjeravaju se na stranicu s krađom identiteta za AiTM radi krađe akreditiva i snimanje sekundarnog tokena za potvrdu identiteta. Prodavatelje u maloprodaji treba potaknuti da obučavaju osoblje o načinima na koje funkcioniraju prijevare krađe identiteta i krađe identiteta putem SMS-a, kako da ih identificiraju i kako da ih prijavljuju.

Važno je istaknuti da za razliku od bučnih zlonamjernih aktera koji prijete ucjenjivačkim softverom, a koji šifriraju i kradu podatke, a zatim vas prisile da platite, Storm-0539 se neprimjetno kreće po okruženju u oblaku, tiho prikuplja podatke za izviđanje i zloupotrebljava infrastrukturu kako oblaka tako i identiteta radi postizanja krajnjih ciljeva.

Operacije grupe Storm-0539 su učinkovite jer akter koristi zakonite ugrožene adrese e-pošte i lažirane zakonite platforme koje koristi tvrtka na koju je usmjeren napad. Neka tvrtke su u mogućnosti da nadoknade gubitke s poklon-bonovima. To je postupak koji zahtijeva iscrpnu istragu kako bi se utvrdilo koje poklon-bonove je izdao zlonamjerni akter.

Služba Microsoftovo obavještavanje o prijetnjama poslala je obavijesti organizacijama kojima je grupa Storm-0539 nanijela štetu. Djelomično i zbog te razmjene informacija i suradnje, zapazili smo da se tijekom posljednjih nekoliko mjeseci povećala sposobnost velikih trgovaca da se uspješno zaštite od aktivnosti grupe Storm-0539.

Saznajte više o grupi Storm-0539 i stručnjacima Microsoftova obavještavanje o prijetnjama koji su posvećeni praćenju računalnog zločina i najnovijih prijetnji.