Panoramica
A marzo 2023, un grande cliente Microsoft ha subito una serie di attacchi informatici spam che hanno causato interruzioni nel suo sistema.
La causa? Uno sbarramento di account Microsoft Outlook e Hotmail creati in modo fraudolento che cercavano di raccogliere i vantaggi dei servizi del clienti forniti come versioni di valutazione di prova a potenziali utenti, nonostante tali account falsi non avessero alcuna intenzione di pagare mai per tali servizi. Di conseguenza, il cliente ha bloccato tutte le creazioni di nuovi account dagli indirizzi Microsoft Outlook e Hotmail.
Quello che stava dietro questo attacco era un'azienda fraudolenta più grande con base in Vietnam, un gruppo che Microsoft chiama Storm-1152.
Storm-1152 gestiva siti web e pagine di social media illeciti, vendendo strumenti e account Microsoft fraudolenti per superare la verifica dell'identità sulle più note piattaforme di tecnologia. I servizi di Storm-1152 agiscono da gateway per il crimine informatico riducendo il tempo e il lavoro necessari per condurre una serie di comportamenti criminali e abusivi online. In totale, il gruppo ha venduto circa 750 milioni di account Microsoft fraudolenti, con un guadagno per il gruppo di milioni di dollari in ricavi illeciti e un costo ancora maggiore per le aziende che devono combattere tale attività criminale.
Risultò che più gruppi stavano usando gli account di Storm-1152 per lanciare attacchi ransomware, per il furto e l'estorsione di dati, tra cui Octo Tempest, Storm-0252, Storm-0455 e altri. L'attività di vendita di account lo ha reso uno dei principali provider online cybercrime-as-a-service.
Microsoft monitorava l'ascesa dell'attività dannosa sin dal 2022, aumentando l'uso degli algoritmi di machine Learning per impedire e rilevare schemi ripetitivi per la creazione di account fraudolenti. Tuttavia, la primavera 2023 ha segnato un punto di flessione a causa del crescente abuso delle piattaforme di Microsoft e partner. Era necessaria un'azione più aggressiva ed è stato creato un team trasversale tra Microsoft e il nostro partner Arkose Labs.
Lo sforzo coordinato ha portato alla creazione della Digital Crimes Unit (DCU) di Microsoft chea dicembre 2023ha avviato la prima azione legale per colpire e chiudere i siti Web che Storm-1152 stava usando per vendere i suoi servizi. Subito dopo l'azione, abbiamo osservato una riduzione di circa il 60% nel traffico delle registrazioni. Questa riduzione corrisponde al 60% o più delle registrazioni che i nostri algoritmi o partner hanno poi identificato come ingannevoli e che abbiamo poi sospeso dai servizi Microsoft. A luglio 23, abbiamo avviato una seconda azione civile per chiudere l'infrastruttura che il gruppo aveva provato a costruire dopo la causa di dicembre.
Questa emergente segnalazione di minacce descrive come l'azione è stata completata e mette in evidenza l'importanza della collaborazione nel settore per individuare le minacce informatiche. Il caso è un esempio di come il settore può usare canali legali per contribuire a fermare altri gruppi e garantire la sicurezza degli utenti online. Parla anche dell'importanza delle interruzioni continue e di come le azioni legali rimangono un modo efficace contro il crimine informatico, anche quando cambia le proprie tattiche. Alla fine della giornata, nessuna operazione può essere considerata conclusa.
Segui Microsoft Security