Giderek artan hediye kartı dolandırıcılığı riskinin içinden

Geçmişe bakıldığında Storm-0539’un, önemli tatil sezonları öncesinde saldırı etkinliğini artırdığı görülebilir. 2024 yılının yaz tatili öncesine denk gelen Mart ve Mayıs ayları arasında Microsoft, Storm-0539’un saldırı etkinliğinde %30’luk bir artış gözlemledi. Sonbahar ve kış tatillerine denk gelen Eylül ve Aralık 2023 arasında ise saldırı etkinliğinde %60’lık bir artış gözlemledik.

Hediye kartları, dolandırıcılık için cazip hedeflerdir çünkü kredi ve banka kartlarının aksine, herhangi bir müşteri adına çıkarılmazlar. Microsoft da Storm-0539’un bu alandaki etkinliklerinin tatil dönemlerinde arttığını gözlemledi. Birleşik Devletler’de Anma Günü, İşçi Bayramı ve Şükran Günü’nde; dünya genelinde ise Efsane Cuma ve kış tatillerinde gurubunun etkinliğinin arttığı görüldü.

Kurumlar genellikle bir hediye kartına yüklenebilecek nakit değer konusunda bir sınır belirler. Örneğin bu sınır 100.000 USD ise tehdit aktörü 99.000 USD değerinde bir kart oluşturup bu hediye kartının kodunu da kendine göndererek nakde çevirir. Ana motivasyonları hediye kartlarını çalmak ve internet üzerinden indirimli bir fiyata satarak kar elde etmektir. Bazı örneklerde tehdit aktörünün bazı şirketlerden bir gün içinde 100.000 USD kadar para çaldığını gözlemledik.

Bu tür saldırılardan korunabilmek ve bu grubun hediye kartı departmanlarına yetkisiz erişim elde etmesine engel olabilmek için hediye kartı oluşturan şirketlerin hediye kartı portallarını yüksek değerli bir hedef olarak görmesi ve bu şekilde davranması gerekir. Bu portallar yakından izlenmeli ve herhangi bir anormal etkinliğin tespit edilebilmesi için sürekli denetlenmelidir.

Hediye kartı portalları ve diğer yüksek değerli hedeflere hızlı erişimin engellenmesi için kontrol ve dengeler uygulamak, bir hesap ele geçirilmiş olsa bile, hediye kartı oluşturan tüm kurumlar için faydalı olabilir. Şüpheli girişleri ve bulut kimliğinin ele geçirilmesi ile kullanılabilecek diğer ilk erişim vektörlerini tespit edebilmek için günlükleri sürekli olarak izleyin ve oturum açma sayısını sınırlayan ve riskli oturum açma işlemlerini işaretleyen koşullu erişim ilkeleri uygulayın.

Kurumların, MFA’ya ek olarak, kimlik doğrulaması taleplerini diğer şeylerin yanı sıra IP adresi konum bilgisi veya cihaz durumu gibi kimliğe bağlı ekstra işaretleri de kullanarak değerlendiren koşullu erişim ilkelerini de uygulaması önerilir.

Bu saldırıları engellemeye yardımcı olabilecek bir diğer taktik de etki alanı satın alma işlemleri sırasında müşteri doğrulaması uygulamaktır. Düzenlemeler ve satıcı ilkeleri, yazım hatasına dayanan sahtekarlıkları dünya genelinde engellemek için yeterli olmayabileceğinden bu aldatıcı siteler, siber saldırıları ölçeklendirme konusunda popülerliğini korumaya devam edebilir. Etki alanı oluşturma sırasında uygulanacak onaylama süreçleri, yalnızca kurbanları aldatma amacıyla oluşturulan sitelerin engellenmesine yardımcı olabilir.

Microsoft, Storm-0539’un, yanıltıcı etki alanı adlarının yanı sıra bir şirkete ilk erişimi elde ettikten sonra kimlik avı mesajlarını yaymak ve dağıtım listeleri ve diğer iş normlarını anlayabilmek için şirket içi meşru posta listelerini de kullandığını gözlemledi.

Geçerli bir dağıtım listesi aracılığıyla yapılan kimlik avı, kötü amaçlı içeriklerin orijinalliğini artırmakla kalmayıp Storm-0539’un erişim sağlamak ve kalıcı olabilmek için ihtiyaç duyduğu kimlik bilgileri, ilişkiler ve bilgilere sunduğu erişimle içeriğin daha fazla kişiyi hedefleyebilmesine de yardımcı olur.

Kullanıcılar, kimlik avı e-postaları ve mesajlarında yer alan bağlantılara tıkladıklarında kimlik bilgisi hırsızlığı ve ikincil kimlik doğrulama belirtecinin ele geçirilebilmesi için bir AiTM sayfasına yönlendirilirler. Perakendecilerin, çalışanlarına, mesaj ile kimlik avı ve kimlik avının nasıl yapıldığı ve bunların nasıl tespit ve rapor edileceği konusunda bilgi vermesi gerekir.

Verileri çaldıktan sonra sizi tehdit ederek ödeme almaya çalışan gürültücü fidye yazılımı tehdit aktörlerinin aksine Storm-0539’un nihai hedefine ulaşmak için bir bulut ortamında sessizce dolaşıp keşif yaptığının ve bulut ve kimlik altyapısını kötüye kullandığının altını çizmek gerekir.

Storm-0539’un operasyonları, aktörün ele geçirdiği meşru e-postaları kullanması ve hedeflediği şirketin kullandığı meşru platformları taklit etmesi nedeniyle inandırıcıdır. Bazı şirketler, yaşadıkları hediye kartı kayıplarını telafi edebilirler. Bunun için tehdit aktörünün hangi hediye kartlarını kullandığını tespit etmek üzere kapsamlı bir araştırma yapılması gerekir.

Microsoft Tehdit Analizi, Storm-0539’un saldırılarından etkilenen kurumlara bildirimler gönderdi. Ve kısmen bu bilgi paylaşımı ve işbirliği sayesinde, son aylarda büyük perakendecilerin Storm-0539 faaliyetlerini etkili bir şekilde önleme becerilerinde artış gözlemledik.

Siber suçları ve en yeni tehditleri izleyenMicrosoft Tehdit Analizi uzmanları ve Storm-0539 hakkında daha fazla bilgi edinin.