Lahjakorttipetosten kasvava riski

Historiallisesti Storm-0539 lisää hyökkäysaktiivisuuttaan ennen suuria juhlapyhiä. Maaliskuun ja toukokuun 2024 välisenä aikana, ennen kesälomakauden alkua, Microsoft havaitsi Storm-0539:n tunkeutumisaktiivisuuden kasvaneen 30 prosenttia. Syyskuun ja joulukuun 2023 välisenä aikana hyökkäysaktiivisuus lisääntyi 60 prosenttia, mikä osui samaan aikaan syys- ja talvilomien kanssa.

Lahjakortit ovat houkuttelevia petoksen kohteita, koska toisin kuin luotto- tai pankkikortteihin, niihin ei liity asiakkaiden nimiä tai pankkitilejä. Microsoft näkee, että tähän toimialaan keskittyneen Storm-0539:n toiminta vilkastuu juhlapyhien aikaan. Memorial Day, Labor Day ja kiitospäivä Yhdysvalloissa sekä Black Friday ja joululomat eri puolilla maailmaa liittyvät yleensä ryhmän aktiivisempaan toimintaan.

Yleensä organisaatiot asettavat rajoituksen yksittäiselle lahjakortille myönnettävälle käteisarvolle. Jos raja on esimerkiksi 100 000 USD, uhkaava toimija myöntää kortin 99 000 USD:n arvosta, lähettää lahjakortin koodin itselleen ja muuttaa sen rahaksi. Heidän ensisijainen motiivinsa on varastaa lahjakortteja ja hyötyä myymällä niitä verkossa alennettuun hintaan. Olemme nähneet esimerkkejä, joissa uhkaava toimija on varastanut jopa 100 000 USD päivässä tietyiltä yrityksiltä.

Suojautuakseen tällaisilta hyökkäyksiltä ja estääkseen tätä ryhmää pääsemästä luvattomasti lahjakorttiosastoille, lahjakortteja myöntävien yritysten olisi kohdeltava lahjakorttiportaalejaan arvokkaina kohteina. Niitä tulisi seurata tiiviisti ja valvottava jatkuvasti poikkeavan toiminnan varalta.

Kaikki lahjakortteja luovat tai myöntävät organisaatiot voivat ottaa käyttöön tarkistuksia ja saldoja, joilla estetään nopea pääsy lahjakorttiportaaleihin ja muihin arvokkaisiin kohteisiin, vaikka tili olisi vaarantunut. Seuraa jatkuvasti lokitietoja, jotta voit tunnistaa epäilyttävät kirjautumiset ja muut yleiset ensimmäisen käytön toimet, jotka perustuvat pilvi-identiteetin vaarantamiseen, ja ota käyttöön ehdollisia käyttöoikeuskäytäntöjä, jotka rajoittavat kirjautumisia ja merkitsevät riskialttiit kirjautumiset.

Organisaatioiden tulisi myös harkita MFA:n täydentämistä ehdollisilla käyttöoikeuskäytännöillä, joissa todennuspyyntöjä arvioidaan muiden identiteettilähtöisten signaalien, kuten IP-osoitteen sijaintitietojen tai laitteen tilan, perusteella.

Toinen taktiikka, joka voisi auttaa hillitsemään näitä hyökkäyksiä, on asiakkaan todentamisprosessi verkkotunnuksia ostettaessa. Säädökset ja myyjäkäytännöt eivät välttämättä estä pahantahtoista typosquattingia kaikkialla maailmassa, joten nämä harhaanjohtavat verkkosivustot voivat pysyä suosittuina kyberhyökkäysten skaalaamiseksi. Verkkotunnusten luomisessa käytettävät tarkistusprosessit voisivat auttaa hillitsemään useampia sivustoja, jotka on luotu pelkästään uhrien huijaamista varten.

Harhaanjohtavien verkkotunnusten lisäksi Microsoft on havainnut Storm-0539:n käyttävän laillisia yrityksen sisäisiä postituslistoja tietojenkalasteluviestien levittämiseen, kun he ovat saaneet jalansijaa yrityksessä ja ymmärtäneet sen jakelulistat ja muut liiketoiminnan normit.

Sen lisäksi, että voimassa olevan jakeluluettelon kautta tapahtuva tietojenkalastelu lisää haitallisen sisällön autenttisuutta, se auttaa myös tarkentamaan sisällön kohdentamista useammille henkilöille, joilla on pääsy tunnistetietoihin, suhteisiin ja tietoihin, joihin Storm-0539 luottaa pysyvyyden ja tavoitettavuuden lisäämiseksi.

Kun käyttäjät napsauttavat tietojenkalastelusähköpostiviestien tai -tekstiviestien sisältämiä linkkejä, heidät ohjataan AiTM-tietojenkalastelusivulle, jolta he voivat varastaa tunnistetiedot ja kaapata toissijaisen todennuskoodin. Vähittäiskauppiaita kannustetaan opettamaan henkilökunnalle, miten tekstiviestihuijaukset ja tietojenkalasteluhuijaukset toimivat, miten ne tunnistetaan ja miten niistä ilmoitetaan.

On tärkeää korostaa, että toisin kuin äänekkäät kiristysohjelmia käyttävät uhkaavat toimijat, jotka salaavat ja varastavat tietoja ja ahdistelevat sitten maksamaan, Storm-0539 luistelee pilviympäristössä hiljaa keräämällä tiedustelutietoja ja käyttämällä pilvi- ja identiteetti-infrastruktuuria väärin päämääränsä saavuttamiseksi.

Storm-0539-operaatiot ovat vakuuttavia, koska toimijat käyttävät laillisia vaarannettuja sähköposteja ja jäljittelevät kohdeyrityksen käyttämiä laillisia alustoja. Joidenkin yritysten lahjakorttien tappiot ovat korvattavissa. Tämä edellyttää perusteellista tutkimusta sen selvittämiseksi, mitkä lahjakortit uhkaava toimija on myöntänyt.

Microsoft Threat Intelligence on julkaissut ilmoituksia organisaatioille, joihin Storm-0539 on vaikuttanut. Osittain tämän tiedonvaihdon ja yhteistyön ansiosta olemme viime kuukausina havainneet, että suurten vähittäiskauppiaiden kyky torjua tehokkaasti Storm-0539-toimintaa on parantunut.

Lue lisää Storm-0539:stä ja Microsoft Threat Intelligence -asiantuntijoista, jotka ovat omistautuneet seuraamaan tietoverkkorikoksia ja uusimpia uhkia.