Analisi del rischio crescente delle frodi relative ai buoni regalo

Da sempre Storm-0539 aumenta l'attività di attacco prima dei principali periodi festivi. Tra marzo e maggio 2024, prima delle vacanze estive, Microsoft ha osservato un aumento del 30% nell'attività di intrusione di Storm-0539. Tra settembre e dicembre 2023, abbiamo osservato un aumento del 60% nell'attività di attacco, in corrispondenza con le festività autunnali e invernali.

I buoni regalo sono obiettivi allettanti per le frodi perché a differenza delle carte di credito o debito non riportano i nomi dei clienti o i conti corrente ad essi collegati. Microsoft riscontra un aumento dell'attività di Storm-0539 in questo settore in prossimità dei periodi festivi. Il Memorial Day, la Festa dei lavoratori e il Ringraziamento negli Stati Uniti, così come il Black Friday e le festività invernali che ricorrono a livello globale tendono a essere associati a un aumento dell'attività del gruppo.

In genere, le organizzazioni impostano un limite per il valore in contanti che è possibile emettere per un singolo buono regalo. Ad esempio, se il limite è di 100.000 USD, l'attore di minacce emetterà un buono di 99.000 USD, quindi invierà a se stesso il codice del buono regalo e lo monetizzerà. La sua principale motivazione è rubare i buoni regalo e guadagnarci vendendoli online a un prezzo scontato. Abbiamo osservato diversi esempi in cui l'attore di minacce ha rubato fino a 100.000 USD al giorno ad alcune aziende.

Per difendersi contro questi attacchi e impedire al gruppo di ottenere l'accesso non autorizzato ai reparti dei buoni regali, le aziende che li emettono devono considerare i portali dedicati come obiettivi di alto valore. Devono monitorali attentamente e controllarli con costanza per rilevare eventuali attività anomale.

Per le organizzazioni che creano o emettono buoni regalo, l'implementazione di controlli e contrappesi per evitare l'accesso rapido ai portali dei buoni regalo e altri obiettivi di alto valore, anche se un account è compromesso, può essere utile. Monitora continuamente i registri per identificare accessi sospetti e altri vettori di accesso iniziali comuni che usano la compromissione delle identità del cloud e implementa criteri di accesso condizionale che limitano gli accessi e segnalano quelli rischiosi.

Le organizzazioni devono anche considerare di usare insieme all'autenticazione a più fattori anche i criteri di accesso condizionale in cui le richieste di autenticazione sono valutate usando altri segnali basati sull'identità come informazioni sul luogo dell'indirizzo IP o lo stato del dispositivo.

Un'altra tattica potenzialmente utile per limitare questi attacchi è un processo di verifica del cliente in relazione all'acquisto dei domini. Regolamenti e criteri dei fornitori potrebbero non prevenire in modo coerente il typosquatting malevolo a livello globale, pertanto questi siti web ingannevoli possono rimanere un metodo popolare per ampliare gli attacchi informatici. I processi di verifica per la creazione di domini potrebbero essere utili per limitare più siti creati soltanto allo scopo di ingannare le vittime.

Oltre a nomi di dominio fuorvianti, Microsoft ha anche osservato che Storm-0539 usa mailing list aziendali interne legittime per diffondere messaggi di phishing dopo aver trovato un punto di appoggio in un'azienda e individuato le sue liste di distribuzione e altre prassi aziendali.

Il phishing tramite una lista di distribuzione valida non aggiunge solo un altro livello di autenticità ai contenuti malevoli, ma contribuisce anche a perpetrare l'attacco contro più persone grazie all'accesso a credenziali, relazioni e informazioni sulle quali Storm-0539 fa affidamento per ottenere accesso permanente e copertura.

Quando cliccano sui collegamenti nelle e-mail o nei messaggi di phishing, gli utenti vengono reindirizzati alla pagina di phishing AiTM per il furto di credenziali e l'acquisizione di token per l'autenticazione secondaria. Invitiamo i venditori a insegnare al proprio personale come funzionano le truffe di smishing/phishing, come identificarle e come segnalarle.

È importante evidenziare che a differenza degli attori di minacce fastidiosi che usano il ransomware e crittografano e rubano i dati per indurti a pagare, Storm-0539 si muove su un ambiente cloud senza farsi notare conducendo attività di ricognizione e usando in modo improprio l'infrastruttura delle identità e del cloud per arrivare ai suoi obiettivi finali.

Le operazioni di Storm-0539 sono persuasive a causa dell'uso di e-mail legittime compromesse e dell'imitazione di piattaforme legittime usate dall'azienda attaccata. Per alcune aziende le perdite relative ai buoni regalo sono recuperabili. Ciò richiede un'indagine minuziosa per determinare quali buoni regalo ha emesso l'attore di minacce.

Microsoft Threat Intelligence ha inviato notifiche alle organizzazioni colpite da Storm-0539. In parte grazie alla condivisione di queste informazioni e alla collaborazione, abbiamo osservato un aumento della capacità dei principali rivenditori di proteggersi in modo efficace dall'attività di Storm-0539 negli ultimi mesi.

Scopri di più su Storm-0539 e sugli esperti di Microsoft Threat Intelligence che si occupano di monitorare il crimine informatico e le minacce più recenti.