高まるギフト カード詐欺のリスクの内情

歴史的に、Storm-0539 は大型連休の前に攻撃活動を増加させます。2024 年 3 月から 5 月にかけて、夏の休暇シーズンを前に、Microsoft は Storm-0539 からの侵入活動が 30% 増加していることを確認しました。2023 年 9 月から 12 月にかけては、秋と冬の連休と重なり、攻撃活動が 60% 増加したことが確認されました。

ギフト カードは、クレジット カードやデビット カードと異なり、顧客名や銀行口座がないため、詐欺の格好の標的です。Microsoft は、この業界に焦点を当てた Storm-0539 による活動が、季節的な休暇期間に活発化すると見ています。米国のメモリアル デー、レイバー デー、サンクスギビング (感謝祭)、そしてブラック フライデーや世界中の冬の祝日には、このグループ関連する活動が増加する傾向にあります。

通常、組織は個々のギフト カードに発行できる現金価値の上限を設定します。たとえば、その限度額が USD$100,000 である場合、脅威アクターは USD$99,000 のカードを発行し、ギフト カードのコードを自分自身に送信して収益化します。彼らの主な動機は、ギフト カードを盗み、それを割引価格でオンライン販売することで利益を得ることです。Microsoft は、脅威アクターが特定の企業で 1 日に最高 USD$100,000 を盗んだ例をいくつか見てきました。

このような攻撃から防御し、このグループがギフト カード部門に不正アクセスするのを防ぐために、ギフト カードを発行する企業はギフト カード ポータルを価値の高い標的として扱う必要があります。ポータル サイトは厳重に監視され、異常な活動がないか継続的に監査する必要があります。

ギフト カードを作成または発行する組織は、たとえアカウントが侵害されたとしても、ギフト カード ポータルやその他の価値の高い標的に簡単にアクセスできないようにするためのチェックとバランスを導入することが有効です。ログを継続的に監視して、不審なログインや、クラウド ID 侵害に依拠するその他の一般的な初期アクセス ベクトルを特定し、サインオンを制限してリスクのあるサインインにフラグを付ける条件付きアクセス ポリシーを実装します。

組織は、IP アドレスの位置情報やデバイスの状態など、ID ドリブンの追加的なシグナルを使用して認証要求を評価する条件付きアクセス ポリシーを使用して MFA を補完することも検討する必要があります。

このような攻撃を抑制するもう 1 つの戦術は、ドメイン購入時の顧客認証プロセスです。規制やベンダーのポリシーは、世界中で悪意のあるタイポスクワッティングを一貫して防止できない可能性があります。つまり、このような詐欺的な Web サイトは、サイバー攻撃の規模を拡大するために依然として人気である可能性があるということです。ドメインを作成する際の認証プロセスは、被害者を欺くことのみを目的として作成されるサイトの増加を抑制するのに役立つ可能性があります。

Microsoft は、誤解を招くドメイン名だけでなく、Storm-0539 が企業内に足場を築き、彼らがその配布リストやその他のビジネス規範を把握すると、合法的な企業内メーリング リストを使用してフィッシング メッセージを広めていることも確認しています。

有効なメーリング リストを利用したフィッシングは、悪意のあるコンテンツに信憑性を持たせるだけでなく、Storm-0539 が持続的な攻撃力を得るために利用している資格情報、関係性、情報へのアクセス権を持つ、より多くの個人を標的にしたコンテンツに磨きをかけることができます。

ユーザーがフィッシング メールやテキストに含まれるリンクをクリックすると、AiTM フィッシング ページにリダイレクトされ、資格情報の盗難や二次認証トークンの取得が行われます。小売業者には、スタッフにフィッシング詐欺のしくみ、見分け方、報告の方法を教えることをおすすめします。

強調したいのは、Storm-0539 は、データを暗号化して盗み出し、支払いを迫る騒々しいランサムウェアの脅威アクターとは異なり、クラウド環境で静かに偵察活動を行い、クラウドと ID インフラストラクチャを悪用して最終目標を達成しているということです。

Storm-0539 の作戦は、攻撃者が正規の侵害されたメールを使用し、標的となる企業が使用する正規のプラットフォームを模倣しているため、説得力があります。企業によっては、ギフト カードの損失は回復可能です。そのためには、脅威アクターがどのギフト カードを発行したかを特定するための徹底的な調査が必要です。

Microsoft 脅威インテリジェンスは、Storm-0539 の影響を受けた組織に対して通知を発行しました。このような情報共有と協力体制のおかげもあり、ここ数か月で大手小売企業での Storm-0539 の活動を効果的に阻止する能力が高まっていることが確認されています。