Šta se krije u sve većem riziku od prevara sa poklon karticama

Godinama unazad, Storm-0539 pojačava aktivnost napada uoči velikih praznika. Od marta do maja 2024. godine, uoči sezone letnjih godišnjih odmora, korporacija Microsoft je uočila da je grupa Storm-0539 za 30% povećala aktivnost upada u sisteme. Od septembra do decembra 2023. godine, u periodu koji se poklapa sa jesenjim i zimskim praznicima, zapazili smo porast aktivnosti napada od 60%.

Poklon kartice predstavljaju privlačne mete za prevaru, jer za razliku od kreditnih ili debitnih kartica ne sadrže imena klijenata niti brojeve bankovnih računa. Microsoft zapaža porast aktivnosti grupe Storm-0539 fokusiranih na te oblasti rada u periodima uoči i tokom praznika. Dan sećanja, Praznik rada i Dan zahvalnosti u Sjedinjenim Američkim Državama, kao i Crni petak i zimski praznici koji se slave širom sveta, obično su povezani sa povećanom aktivnošću grupe.

Organizacije obično postavljaju ograničenje na gotovinsku vrednost koja se može izdati po pojedinačnoj poklon kartici. Na primer, ako ograničenje iznosi 100.000 USD, zlonamerni akter će izdati karticu za 99.000 USD, a zatim će sebi poslati šifru za poklon karticu i unovčiti je. Njihova primarna motivacija je da ukradu poklon kartice i ostvare dobit tako što će ih prodati na mreži po sniženoj ceni. Viđali smo i takve primere da je u nekim preduzećima zlonamerni akter krao i po 100.000 USD dnevno.

Da bi se zaštitile od takvih napada i sprečile ovu grupu da dobije neovlašćen pristup odeljenjima za poklon kartice, preduzeća koja izdaju poklon kartice treba da se odnose prema portalima sa poklon karticama kao prema metama visokog rizika. Treba ih pažljivo nadgledati i neprekidno nadzirati radi otkrivanja bilo kakve anomalne aktivnosti.

Svakoj organizaciji koja kreira i izdaje poklon kartice može koristiti primena provere i bilansa za sprečavanje brzog pristupa portalima sa poklon karticama i drugim potencijalnim značajnim metama, čak i ako je nalog već ugrožen. Neprestano nadgledajte evidencije kako biste identifikovali sumnjiva prijavljivanja i druge uobičajene vektore za početni pristup koji se oslanjaju na ugrožavanje identiteta u oblaku i primenite smernice za uslovni pristup koje ograničavaju prijavljivanja i označavaju rizične prijave.

Organizacije treba da razmotre i uvođenje smernica za uslovni pristup kao dopune višestrukoj potvrdi identiteta, jer se na taj način zahtevi za potvrdu identiteta procenjuju korišćenjem dodatnih signala na osnovu identiteta, kao što su, između ostalog, informacije o lokaciji IP adrese ili status uređaja.

Još jedna taktika koja može da olakša suzbijanje napada je proces verifikacije korisnika za kupovinu domena. Propisi i smernice dobavljača možda nisu u stanju da u potpunosti spreče zlonamerne omaške u kucanju širom sveta, što znači da obmanjujući veb sajtovi mogu i dalje biti popularni za skaliranje kibernetičkih napada. Procesi verifikacije za kreiranje domena mogu olakšati sprečavanje kreiranja većeg broja sajtova koji služe isključivo za obmanjivanje žrtava.

Korporacija Microsoft je uočila da grupa Storm-0539 osim obmanjujućih naziva domena koristi i legitimne interne liste sa adresama kako bi širila phishing poruke kada stvori uporište u preduzeću i upozna se sa listama distribucije i drugim normama poslovanja.

Ne radi se samo o tome da phishing putem važećih lista distribucije dodaje još jedan sloj zlonamernom sadržaju, već omogućava i uspešnije ciljanje za slanje sadržaja većem broju osoba sa pristupom akreditivima, odnosima i informacijama na koje se Storm-0539 oslanja radi zadobijanja postojanosti i dosega.

Kada korisnici kliknu na veze koje se nalaze u phishing e-porukama ili tekstualnim porukama, preusmeravaju se na phishing stranicu za AiTM radi krađe akreditiva i snimanje sekundarnog tokena za potvrdu identiteta. Prodavce u maloprodaji treba podsticati da obučavaju osoblje o načinima na koje funkcionišu smishing/phishing prevare, kako da ih identifikuju i kako da ih prijavljuju.

Važno je istaći da za razliku od bučnih zlonamernih aktera ransomver pretnjama, koji šifruju i ukradu podatke a zatim vas prisile da platite, Storm-0539 se neprimetno kreće po okruženju u oblaku, tiho prikuplja podatke za izviđanje i zloupotrebljava infrastrukturu kako oblaka tako i identiteta radi postizanja krajnjih ciljeva.

Operacije grupe Storm-0539 su efikasne, jer akter koristi legitimne ugrožene adrese e-pošte i lažirane legitimne platforme koje koristi preduzeće na koje je usmeren napad. Neka preduzeća su u mogućnosti da nadoknade gubitke sa poklon karticama. To je postupak koji zahteva iscrpnu istragu kako bi se utvrdilo koje poklon kartice je izdao zlonamerni akter.

Služba Microsoft informacije o pretnjama poslala je obaveštenja organizacijama kojima je grupa Storm-0539 nanela štetu. Delimično i zbog te razmene informacija i saradnje, zapazili smo da se tokom poslednjih nekoliko meseci povećala sposobnost velikih trgovaca da se uspešno zaštite od aktivnosti grupe Storm-0539.

Saznajte više o grupi Storm-0539 i stručnjacima za Microsoft informacije o pretnjama koji su posvećeni praćenju kibernetičkog kriminala i najnovijih pretnji.