ข้อมูลภายในเกี่ยวกับความเสี่ยงที่เพิ่มขึ้นของการฉ้อโกงด้วยบัตรกำนัล

ในอดีต Storm-0539 จะเพิ่มการโจมตีก่อนช่วงเทศกาลวันหยุดสำคัญๆ ระหว่างเดือนมีนาคมถึงพฤษภาคม 2024 ก่อนช่วงวันหยุดฤดูร้อน Microsoft สังเกตเห็นกิจกรรมการบุกรุกจาก Storm-0539 เพิ่มขึ้น 30% ระหว่างเดือนกันยายนถึงธันวาคม 2023 เราสังเกตเห็นกิจกรรมการโจมตีเพิ่มขึ้น 60% ซึ่งตรงกับวันหยุดฤดูใบไม้ร่วงและฤดูหนาว

บัตรกำนัลเป็นเป้าหมายที่น่าสนใจสำหรับการฉ้อโกง เนื่องจากไม่มีชื่อลูกค้าหรือบัญชีธนาคารแนบมาด้วย ไม่เหมือนกับบัตรเครดิตหรือบัตรเดบิต Microsoft พบว่ากิจกรรมจาก Storm-0539 ซึ่งมุ่งเน้นไปที่อุตสาหกรรมนี้เพิ่มขึ้นในช่วงวันหยุดตามฤดูกาล วันรำลึกทหารผ่านศึก วันแรงงาน และวันขอบคุณพระเจ้าในสหรัฐอเมริกา รวมถึงแบล็กฟรายเดย์และวันหยุดฤดูหนาวที่พบทั่วโลก มีแนวโน้มที่จะเกี่ยวข้องกับกิจกรรมที่เพิ่มขึ้นจากกลุ่ม

โดยทั่วไปแล้ว องค์กรจะกำหนดขีดจำกัดมูลค่าเงินสดที่สามารถออกให้กับบัตรกำนัลแต่ละใบได้ ตัวอย่างเช่น หากขีดจำกัดดังกล่าวคือ USD$100,000 ผู้ดำเนินการภัยคุกคามจะออกบัตรมูลค่า USD$99,000 จากนั้นส่งรหัสบัตรกำนัลให้ตัวเองและสร้างรายได้จากบัตรเหล่านั้น แรงจูงใจหลักของพวกเขาคือการขโมยบัตรกำนัลและทำกำไรโดยการขายทางออนไลน์ในราคาส่วนลด เราได้เห็นตัวอย่างบางส่วนที่ผู้ดำเนินการภัยคุกคามได้ขโมยเงินถึง USD$100,000 ต่อวันจากบริษัทบางแห่ง

เพื่อป้องกันการโจมตีดังกล่าวและป้องกันไม่ให้กลุ่มนี้เข้าถึงแผนกบัตรกำนัลโดยไม่ได้รับอนุญาต บริษัทที่ออกบัตรกำนัลควรถือว่าพอร์ทัลบัตรกำนัลของตนเป็นเป้าหมายที่มีมูลค่าสูง โดยควรเฝ้าสังเกตพอร์ทัลอย่างใกล้ชิดและตรวจสอบอย่างต่อเนื่องสำหรับกิจกรรมที่ผิดปกติ

สำหรับองค์กรใดๆ ที่สร้างหรือออกบัตรกำนัล การใช้การตรวจสอบและการปรับให้สมดุลเพื่อป้องกันการเข้าถึงพอร์ทัลบัตรกำนัลและเป้าหมายที่มีมูลค่าสูงอื่นๆ อย่างรวดเร็วนั้นสามารถช่วยได้ แม้ว่าบัญชีจะมีช่องโหว่ก็ตาม ตรวจสอบบันทึกอย่างต่อเนื่องเพื่อระบุการเข้าสู่ระบบที่น่าสงสัยและเวกเตอร์การเข้าถึงเบื้องต้นทั่วไปอื่นๆ ที่ต้องอาศัยการโจมตีข้อมูลประจำตัวบนคลาวด์ และใช้นโยบายการเข้าถึงแบบมีเงื่อนไขที่จำกัดการลงชื่อเข้าระบบและตั้งค่าสถานะการลงชื่อเข้าใช้ที่มีความเสี่ยง

องค์กรควรพิจารณาเสริม MFA ด้วยนโยบายการเข้าถึงแบบมีเงื่อนไข โดยที่คำขอการรับรองความถูกต้องได้รับการประเมินโดยใช้สัญญาณที่อิงตามข้อมูลประจำตัวเพิ่มเติม เช่น ข้อมูลตำแหน่งที่ตั้งที่อยู่ IP หรือสถานะอุปกรณ์ และอื่นๆ อีกมากมาย

กลยุทธ์อีกประการหนึ่งที่สามารถช่วยลดการโจมตีเหล่านี้ได้คือกระบวนการตรวจสอบลูกค้าสำหรับการซื้อโดเมน กฎระเบียบและนโยบายของผู้จัดจำหน่ายอาจไม่ได้ป้องกันการพิมพ์ผิดที่เป็นอันตรายทั่วโลกอย่างสม่ำเสมอ ซึ่งหมายความว่าเว็บไซต์หลอกลวงเหล่านี้ยังคงได้รับความนิยมในการขยายขนาดการโจมตีทางไซเบอร์ กระบวนการตรวจสอบสำหรับการสร้างโดเมนสามารถช่วยลดไซต์ที่สร้างขึ้นเพื่อวัตถุประสงค์ในการหลอกลวงเหยื่อได้มากขึ้น

นอกเหนือจากชื่อโดเมนที่ทำให้เข้าใจผิดแล้ว Microsoft ยังพบว่า Storm-0539 ใช้รายชื่อส่งจดหมายของบริษัทในเครือที่ถูกต้องตามกฎหมายเพื่อเผยแพร่ข้อความฟิชชิ่งเมื่อพวกเขาได้ตั้งหลักในบริษัทและเข้าใจรายชื่อการแจกจ่ายและบรรทัดฐานทางธุรกิจอื่นๆ

ฟิชชิ่งผ่านรายชื่อการแจกจ่ายที่ถูกต้องไม่เพียงแต่จะเพิ่มความน่าเชื่อถืออีกชั้นหนึ่งให้กับเนื้อหาที่เป็นอันตราย แต่ยังช่วยปรับปรุงการกำหนดเป้าหมายเนื้อหาไปยังบุคคลทั่วไปจำนวนมากขึ้นซึ่งสามารถเข้าถึงข้อมูลประจำตัว ความสัมพันธ์ และข้อมูลที่ Storm-0539 ใช้เพื่ออยู่ต่อในระบบและเข้าถึงได้

เมื่อผู้ใช้คลิกลิงก์ที่อยู่ในอีเมลหรือข้อความฟิชชิ่ง พวกเขาจะถูกเปลี่ยนเส้นทางไปยังหน้าฟิชชิ่ง AiTM สำหรับการโจรกรรมข้อมูลประจำตัวและการบันทึกโทเค็นการรับรองความถูกต้องรอง ขอแนะนำให้ผู้ค้าปลีกสอนพนักงานถึงวิธีการทำงานของการหลอกลวงสมิชชิ่ง/ฟิชชิ่ง วิธีระบุตัวตน และวิธีรายงาน

สิ่งสำคัญคือต้องเน้นย้ำว่าแตกต่างจากผู้ดำเนินการภัยคุกคามแรนซัมแวร์ที่น่ารำคาญซึ่งเข้ารหัสและขโมยข้อมูล จากนั้นคุกคามให้คุณจ่ายเงิน Storm-0539 ดำเนินการในสภาพแวดล้อมคลาวด์อย่างเงียบๆ เพื่อรวบรวมข้อมูลการสอดแนมและใช้โครงสร้างพื้นฐานคลาวด์และข้อมูลประจำตัวในทางที่ผิดเพื่อบรรลุเป้าหมายสุดท้าย

การดำเนินงานของ Storm-0539 นั้นโน้มน้าวใจได้เนื่องจากผู้ดำเนินการใช้อีเมลที่มีช่องโหว่อย่างถูกกฎหมายและการเลียนแบบแพลตฟอร์มที่ถูกกฎหมายซึ่งใช้โดยบริษัทเป้าหมาย สำหรับบางบริษัท ความเสียหายจากบัตรกำนัลสามารถกู้คืนได้ ซึ่งจำเป็นต้องมีการตรวจสอบอย่างละเอียดเพื่อพิจารณาว่าผู้ดำเนินการภัยคุกคามออกบัตรกำนัลใบใด

Microsoft Threat Intelligence ได้ออกการแจ้งเตือนไปยังองค์กรที่ได้รับผลกระทบจาก Storm-0539 เราสังเกตเห็นความสามารถที่เพิ่มขึ้นของผู้ค้าปลีกรายใหญ่ในการป้องกันกิจกรรม Storm-0539 อย่างมีประสิทธิภาพในช่วงไม่กี่เดือนที่ผ่านมา ส่วนหนึ่งเป็นเพราะการแบ่งปันข้อมูลและการทำงานร่วมกันนี้

เรียนรู้เพิ่มเติมเกี่ยวกับ Storm-0539 และผู้เชี่ยวชาญ Microsoft Threat Intelligence ที่ทุ่มเทกับการติดตามอาชญากรรมไซเบอร์และภัยคุกคามล่าสุด