禮品卡欺詐風險日益成長的內幕

從歷史角度來看，Storm-0539 會在重要假期來臨前增加攻擊活動。在 2024 年暑假前 3 月至 5 月期間，Microsoft 觀察到 Storm-0539 的入侵活動增加了 30%。在 2023 年 9 月至 12 月期間，我們觀察到攻擊活動增加了 60%，恰逢秋季和冬季假期。

禮品卡是欺詐的誘人目標，因為與信用卡或簽帳卡不同，禮品卡沒有連結客戶姓名或銀行帳戶。Microsoft 看到 Storm-0539 的活動集中在季節性假期期間並有所增加，這些活動專注於這個行業。美國的陣亡將士紀念日、勞動節和感恩節，以及世界各地的黑色星期五和冬季假期，往往與他們的活動增加有關。

通常，組織對可以發行限制現金價值的個人禮品卡。例如，如果限額為 100,000 美元，威脅行為者將發行一張 99,000 美元的卡，然後發送禮品卡程式碼給自己並從中獲利。他們的主要動機是竊取禮品卡，並透過折扣在線上銷售來獲利。我們已經看到一些例子，威脅行為者在某些公司一天的盜竊所得高達 100,000 美元。

為了抵禦此類攻擊並防行為者團隊未經授權存取禮品卡部門，發行禮品卡的公司應將禮品卡入口網站視為高價值目標。它們應該受到密切監控，並持續監控任何異常活動。

對於任何建立或發行禮品卡的組織來說，對於禮品卡入口網站和其它高價值目標應實施檢查和平衡地防止快速存取，即使帳戶遭到入侵，也能提供協助。持續地監視記錄，以識別雲端身份洩露造成的可疑登入和其他初始存取的動作，並實施條件式存取原則，限制登入和標記有風險的登入。

組織還應考慮使用條件式存取原則來補充 MFA，可搭配使用其他身分識別驅動的訊號 (如 IP 位址、位置資訊或裝置狀態等) 來評估身分驗證請求。

另一種可以協助遏制這些攻擊的策略是購買網域名稱的客戶驗證流程。法規和供應商原則可能無法一致地防止世界各地的惡意網域名稱註冊，這意味著這些欺騙性網站可能會持續受到大規模網路攻擊的歡迎。建立網域的驗證流程可以幫助遏制更多以欺騙受害者為目的而建立的網站。

除了誤導性網域名稱外，Microsoft 還觀察到 Storm-0539 在公司內部站穩腳跟並了解通訊群組清單和其它業務規範之後，便會使用合法的公司內部郵件清單來散播網路釣魚訊息。

透過有效通訊群組清單進行的網路釣魚，不僅為惡意內容增加了另一層真確性，還有助於將內容定位到更多能存取登入資訊、關係和資訊的個人，Storm-0539 依靠它來獲得持續留存和覆蓋範圍。

當使用者點擊網路釣魚電子郵件或文字內容中包含的連結時，他們會被重導向到 AiTM 網路釣魚頁面，以進行認證竊取和二次身份驗證權杖擷取。鼓勵零售商教導員工簡訊網路釣魚和網路釣魚詐騙的工作原理，以及如何識別和報告它們的做法。

需要強調的是，與喧鬧的勒索軟體威脅行為者不同，他們會加密和竊取資料，然後騷擾您要求付款，Storm-0539 在雲端環境中悄悄地收集偵察，並濫用雲端和身分識別基礎結構來實現其最終目標。

Storm-0539 的操作具有說服力，因為行為者使用合法的遭入侵電子郵件並模仿目標公司使用的合法平台。對於一些公司來說，禮品卡的損失是可以追討回來的。這個需要徹底的調查，以確定威脅行為者發行了哪些禮品卡。

Microsoft 威脅情報已向受 Storm-0539 影響的組織發出通知。在某種程度上，由於資訊共用和共同作業，我們觀察到近幾個月來主要零售商有效抵禦 Storm-0539 活動的能力有所提高。

深入了解 Storm-0539 和 Microsoft 威脅情報專家 ，致力於追蹤網路犯罪和最新威脅。