Meer over het groeiende risico van fraude met cadeaukaarten

In het verleden voerde Storm-0539 meer aanvallen uit in de aanloop naar belangrijke vakantieseizoenen. Tussen maart en mei 2024, in de aanloop naar de zomervakantie, observeerde Microsoft een toename van 30% in de inbraakactiviteiten van Storm-0539. Tussen september en december 2023 observeerde Microsoft een toename van 60% in de aanvalsactiviteiten, in de perioden van de herfst- en wintervakantie.

Cadeaukaarten zijn aantrekkelijke doelen voor fraude, omdat ze in tegenstelling tot creditcards en betaalkaarten geen klantnamen of rekeningnummers vermelden op de kaart. Microsoft ziet een toename in de activiteiten van Storm-0539 met de focus op deze sector rond het feestdagenseizoen. Feestdagen zoals Memorial Day, Labor Day en Thanksgiving in de Verenigde Staten, en Black Friday en wintervakanties over de hele wereld, worden vaak gerelateerd aan een toename in de activiteiten van de groep.

Organisaties stellen meestal een limiet voor de geldelijke waarde die een individuele uitgegeven cadeaukaart kan hebben. Als de limiet bijvoorbeeld USD 100.000 is, geeft de bedreigingsactor een kaart uit met een waarde van USD 99.000 om vervolgens de code van die cadeaukaart naar zichzelf te verzenden en die te monetariseren. De primaire motivatie is om cadeaukaarten te stelen en winst te maken door ze online te verkopen tegen een tarief met korting. We hebben een aantal voorbeelden waargenomen waarbij de bedreigingsactor tot USD 100.000 per dag heeft gestolen van bepaalde bedrijven.

Om te verdedigen tegen deze aanvallen en om te voorkomen dat deze groep ongeoorloofde toegang tot afdelingen die werken met cadeaukaarten krijgt, moeten bedrijven die cadeaukaarten uitgeven hun portals voor cadeaukaarten behandelen als hoogwaardige doelwitten. Ze moeten nauwlettend bewaakt worden en voortdurend gecontroleerd worden op afwijkende activiteit.

Elke organisatie die cadeaukaarten maakt of uitgeeft, kan geholpen zijn met de implementatie van controles en balanceringen om te voorkomen dat portals voor cadeaukaarten en andere hoogwaardige doelwitten snel toegankelijk zijn, zelfs als een account is gecompromitteerd. Bewaak voortdurend logboeken om verdachte aanmeldingen te identificeren, en bewaak andere algemene initiële toegangsvectoren die afhankelijk zijn van gecompromitteerde cloudidentiteiten. Implementeer beleid voor voorwaardelijke toegang dat aanmeldingen beperkt en risicovolle aanmeldingen markeert.

Organisaties moeten ook overwegen om meervoudige verificatie aan te vullen met beleid voor voorwaardelijke toegang. Bijvoorbeeld waar verificatieaanvragen worden geëvalueerd met gebruik van aanvullende identiteitsgebaseerde signalen zoals locatiegegevens van het IP-adres of de apparaatstatus.

Een andere tactiek die deze aanvallen kan tegenhouden, is een klantverificatieproces voor het kopen van domeinen. Regelgeving en leveranciersbeleid voorkomen niet consistent het kwaadaardige typosquatting wereldwijd, wat betekent dat deze misleidende websites populair kunnen blijven voor het schalen van cyberaanvallen. Verificatieprocessen voor het maken van domeinen kunnen helpen om het aantal websites die gemaakt worden om slachtoffers te misleiden terug te dringen.

Naast misleidende domeinnamen heeft Microsoft ook waargenomen dat Storm-0539 legitieme, interne adressenlijsten van bedrijven gebruikt om phishingberichten te verspreiden. Ze doen dit zodra ze een vaste voet in een bedrijf hebben en de distributielijsten en andere zakelijke normen begrijpen.

Phishing via een legitieme distributielijst voegt een extra laag toe aan de authenticiteit van kwaadaardige inhoud. Daarnaast helpt het de inhoud preciezer te richten op meer individuen met toegang tot referenties, relaties en informatie die Storm-0539 kan gebruiken voor meer persistentie en een groter bereik.

Wanneer gebruikers op de koppelingen in de phishing-e-mails of -berichten klikken, worden ze omgeleid naar een AiTM-phishingpagina voor referentiediefstal en secundair voor het bemachtigen van verificatietokens. Retailers worden aangemoedigd om personeel te trainen in hoe scams met smishing en phishing werken, hoe ze die identificeren en hoe ze die melden.

Bedreigingsactoren die met ransomware gegevens versleutelen en stelen en je vervolgens onder druk zetten om te betalen, hebben nadrukkelijk een andere werkwijze dan Storm-0539. Ransomware wordt luidruchtig gebruikt in vergelijking met de verkenning in cloudomgevingen door Storm-0539, een actor die in stilte informatie verzamelt en misbruik maakt van de cloud- en identiteitsinfrastructuur om de einddoelen te behalen.

Operaties van Storm-0539 zijn overtuigend vanwege het gebruik van legitieme maar gecompromitteerde e-mails en de imitatie van legitieme platformen die door het aangevallen bedrijf worden gebruikt. Sommige bedrijven kunnen verloren cadeaukaarten terugvorderen. Dat vereist wel een grondig onderzoek om te bepalen welke cadeaukaarten de bedreigingsactor heeft uitgegeven.

Microsoft Bedreigingsinformatie heeft meldingen verzonden naar organisaties die zijn getroffen door Storm-0539. Deels door het delen van deze informatie en samenwerking, hebben we in de afgelopen maanden waargenomen dat grote retailers effectiever kunnen waken voor de activiteiten van Storm-0539.

Lees meer over Storm-0539 en de Microsoft Bedreigingsinformatie-experts die zijn toegewijd aan het bijhouden van cybercriminaliteit en de meest recente bedreigingen.