Informācija par pieaugošo dāvanu karšu krāpniecības risku

Vēsturiski Storm-0539 palielina uzbrukumu aktivitāti pirms lieliem svētku periodiem. Laikā no 2024. gada marta līdz maijam, pirms vasaras atvaļinājumu sezonas, Microsoft konstatēja par 30% lielāku ielaušanās aktivitāti no Storm-0539. No 2023. gada septembra līdz decembrim, mēs konstatējām par 60% lielāku uzbrukumu aktivitātes pieaugumu, kas sakrita ar rudens un ziemas brīvdienām.

Dāvanu kartes ir pievilcīgs krāpniecības mērķis, jo atšķirībā no kredītkartēm vai debetkartēm tām nav piesaistīti klientu vārdi vai bankas konti. Microsoft novērojis, ka sezonālo brīvdienu laikā palielinās uz šo nozari vērstā grupējuma Storm-0539 aktivitāte. Piemiņas diena, Darba svētki un Pateicības diena Amerikas Savienotajās Valstīs, kā arī Melnā piektdiena un ziemas brīvdienas visā pasaulē parasti ir saistītas ar šī grupējuma pastiprinātu aktivitāti.

Parasti organizācijas nosaka naudas vērtības ierobežojumu, ko var piešķirt vienai dāvanu kartei. Piemēram, ja šis ierobežojums ir 100 000 USD, draudu izpildītājs izdos karti 99 000 USD vērtībā,pēc tam nosūtīs sev dāvanu kartes kodu un iekasēs no tās peļņu. Viņu galvenā motivācija ir zagt dāvanu kartes un gūt peļņu, pārdodot tās tiešsaistē ar atlaidi. Esam redzējuši piemērus, kad draudu izpildītājs dažos uzņēmumos ir nozadzis līdz pat 100 000 USD dienā.

Lai aizsargātos pret šādiem uzbrukumiem un neļautu šim grupējumam saņemt nesankcionētu piekļuvi dāvanu karšu nodaļām, uzņēmumiem, kas izdod dāvanu kartes, pret saviem dāvanu karšu portāliem jāizturas kā pret ļoti vērtīgiem mērķiem. Tos ir rūpīgi jāuzrauga un nepārtraukti jāauditē, lai konstatētu jebkādas anormālas aktivitātes.

Jebkurai organizācijai, kas veido vai izdod dāvanu kartes, var noderēt pārbaužu un līdzsvara ieviešana, lai novērstu ātro piekļuvi dāvanu karšu portāliem un citiem ļoti vērtīgiem mērķiem, pat ja konts ir apdraudēts. Nepārtraukti pārraugiet žurnālus, lai identificētu aizdomīgu pieteikšanos un citus izplatītus sākotnējās piekļuves vektorus, kas balstās uz mākoņa identitātes apdraudējumiem un ievietojiet nosacītās piekļuves politikas, kas ierobežo pierakstīšanos un atzīmē riskantus pierakstīšanās gadījumus.

Organizācijām arī jāapsver iespēja papildināt MFA ar nosacītās piekļuves politikām, kurās autentifikācijas pieprasījumi tiek izvērtēti, izmantojot papildu uz identitāti balstītus signālus, piemēram, informāciju par IP adreses atrašanās vietu vai ierīces statusu.

Vēl viena taktika, kas varētu palīdzēt ierobežot šos uzbrukumus, ir klientu verifikācijas process domēnu iegādei. Noteikumi un piegādātāju politikas var konsekventi nenovērst ļaunprātīgu vietrāžu URL viltošanu visā pasaulē, kas nozīmē, ka šīs maldinošās vietnes var saglabāt popularitāti kiberuzbrukumu mērogošanā. Domēnu izveides verifikācijas procesi varētu palīdzēt ierobežot vairāk vietņu, kas izveidotas tikai ar mērķi maldināt upurus.

Papildus maldinošiem domēnu nosaukumiem Microsoft ir novērojis, ka Storm-0539 izmanto likumīgus iekšējo uzņēmumu pasta sarakstus, lai izplatītu pikšķerēšanas ziņojumus, tiklīdz viņi ir nostiprinājušies uzņēmumā un pārzina tā izplatīšanas sarakstus un citas uzņēmējdarbības normas.

Pikšķerēšana, izmantojot derīgu izplatīšanas sarakstu, ne tikai piešķir ļaunprātīgam saturam vēl vienu autentiskuma līmeni, bet arī palīdz pilnveidot satura mērķauditoriju, aptverot vairāku personu, kam ir piekļuve akreditācijas datiem, attiecībām un informācijai, uz kuru paļaujas Storm-0539, lai iegūtu noturību un ietekmi.

Kad lietotāji noklikšķina uz pikšķerēšanas e-pasta ziņojumos vai īsziņās esošajām saitēm, viņi tiek novirzīti uz AiTM pikšķerēšanas lapu akreditācijas datu zādzībai un sekundārā autentifikācijas žetons iegūšanai. Mazumtirgotāji ir aicināti mācīt darbiniekiem, kā darbojas smikšķerēšanas/pikšķerēšanas krāpniecība, kā to atpazīt un kā par to ziņot.

Svarīgi uzsvērt, ka atšķirībā no agresīvajiem izspiedējprogrammatūru draudu izpildītājiem, kuri šifrē un zog datus un pēc tam pieprasa jūs maksāt, Storm-0539 klusi darbojas mākoņa vidē, veicot izlūkošanu un ļaunprātīgi izmantojot mākoņa un identitātes infrastruktūru, lai sasniegtu savus mērķus.

Storm-0539 operācijas ir pārliecinošas, jo izpildītājs izmanto likumīgus apdraudētus e-pastus un imitē likumīgas platformas, ko izmanto apdraudētais uzņēmums. Dažiem uzņēmumiem dāvanu karšu zaudējumi ir atgūstami. Tādēļ ir jāveic rūpīga izmeklēšana, lai noteiktu, kuras dāvanu kartes izsniedzis draudu izpildītājs.

Microsoft draudu informācija ir izdevusi paziņojumus organizācijām, kuras skāris grupējums Storm-0539. Daļēji pateicoties šai informācijas apmaiņai un sadarbībai, pēdējos mēnešos esam novērojuši, ka palielinās lielāko mazumtirgotāju spēja efektīvi novērst Storm-0539 aktivitātes.

Papildinformācija par Storm-0539 un Microsoft draudu informācijas ekspertiem , kas nodarbojas ar kibernoziegumu un jaunāko draudu izsekošanu.