Зростання ризику шахрайства з подарунковими картками

У минулому група Storm-0539 збільшувала активність атак перед великими святами. У період із березня по травень 2024 року, перед початком сезону літніх відпусток, корпорація Майкрософт спостерігала зростання активності вторгнень Storm-0539 на 30%. Зростання активності атак на 60% спостерігалося з вересня по грудень 2023 року, що збіглося з осінніми та зимовими святами.

Подарункові картки є привабливою мішенню для шахраїв, оскільки, на відміну від кредитних або дебетових карток, вони не прив’язані до імені клієнта чи банківського рахунку. Корпорація Майкрософт зауважила, що група Storm-0539, орієнтована на цю галузь, активізується більше в період свят. День пам’яті, День праці й День подяки в США, а також Чорна п’ятниця та зимові свята в усьому світі зазвичай асоціюються з підвищеною активністю цієї групи.

Зазвичай організації встановлюють обмеження грошової вартості однієї подарункової картки Наприклад, якщо таке обмеження становить 100 000 доларів США, джерело загрози випустить картку сумою 99 000 доларів США, надішле собі код подарункової картки та конвертує її в гроші. Їхня основна мотивація – красти подарункові картки та продавати їх онлайн за зниженою ціною. Ми спостерігали деякі ситуації, коли джерело загрози викрадало до 100 000 доларів США на день у певних компаній.

Щоб запобігти таким атакам і несанкціонованому доступу цієї групи до відділів, які працюють із подарунковими картками, компаніям, що випускають подарункові картки, слід ставитися до своїх порталів подарункових карток як до цінних цілей. Їх потрібно уважно відстежувати та постійно перевіряти на наявність аномальної активності.

Організаціям, які створюють або випускають подарункові картки, варто впровадити засоби контролю, щоб запобігти швидкому доступу до порталів подарункових карток та інших цінних цілей, навіть якщо обліковий запис уражено. Постійно відстежуйте журнали, щоб виявити підозрілі спроби входу й інші поширені шляхи первинного доступу, що ґрунтуються на порушенні безпеки хмарних ідентичностей, а також упроваджуйте політики умовного доступу, які обмежують спроби входу та повідомляють про ризиковані спроби входу.

Організаціям також варто розглянути можливість доповнення багатофакторної автентифікації політиками умовного доступу, які оцінюють запити автентифікації на основі додаткових ідентифікаційних сигналів, таких як інформація про розташування IP-адреси або стан пристрою тощо.

Ще одна тактика, яка може допомогти обмежити ці атаки, –упровадження процесу перевірки клієнтів під час купівлі доменів. Правила та політики постачальників не можуть повністю запобігти зловмисному тайпсквотингу в усьому світі, а це означає, що ці шахрайські веб-сайти можуть залишатися популярними для масштабування кібератак. Процеси перевірки створення доменів можуть допомогти обмежити кількість сайтів, створених виключно для обману жертв.

Крім доменних імен, що вводять в оману, корпорація Майкрософт також зауважила, що група Storm-0539 використовує законні внутрішні списки розсилки компанії, щоб розповсюджувати фішингові повідомлення, щойно вона закріпиться всередині компанії та дізнається про її списки розсилки й інші бізнес-стандарти.

Фішинг за допомогою дійсного списку розсилки не лише додає ще один рівень справжності шкідливому вмісту, але й допомагає націлити вміст на більшу кількість людей, які мають доступ до облікових даних, зв’язків та інформації, на яку Storm-0539 покладається, щоб закріпитися й досягти цілі.

Коли користувачі натискають посилання у фішингових електронних листах або текстових повідомленнях, вони спрямовуються на фішингову сторінку AiTM, яка краде облікові дані й перехоплює вторинні маркери автентифікації. Роздрібним продавцям варто навчати своїх працівників, як працюють шахрайські схеми з використанням смсшингу чи фішингу, як їх розпізнавати та як повідомляти про них.

Важливо зазначити, що на відміну від "гучних" зловмисників-вимагачів, які шифрують і крадуть дані, а потім вимагають викуп, Storm-0539 проникає в хмарне середовище, щоб непомітно збирати розвідувальні дані та використовувати хмарну інфраструктуру й інфраструктуру ідентичностей для досягнення своїх кінцевих цілей.

Операції Storm-0539 переконливі, оскільки джерело загрози використовує дійсні уражені електронні скриньки та видає себе за законні платформи, якими користується цільова компанія. Для деяких компаній збитки за подарунковими картками можна відшкодувати. Для цього потрібно провести ретельне дослідження та визначити, які подарункові картки випускає джерело загрози.

Аналіз загроз Microsoft надіслав сповіщення організаціям, які постраждали від Storm-0539. Частково завдяки цьому обміну інформацією та співпраці останніми місяцями ми побачили, що великі роздрібні продавці стають дедалі більш здатними ефективно захищатися від атак Storm-0539.

Дізнайтеся більше про Storm-0539 та експертів Аналізу загроз Microsoft, які відстежують кіберзлочини й найновіші загрози.