.avif)
5 دقیقه
مرور کلی: یک کارزار گسترده فیشینگ موبایلی، کارت‌های پرداخت آمریکایی را هدف قرار داد
پژوهشگران حوزه امنیت هشدار می‌دهند که موجی پیچیده و هماهنگ از حملات فیشینگ با تمرکز بر موبایل — که به طور رایج «اسمیشینگ» نامیده میشود — و مرتبط با گروه‌های جنایتکار سایبری چینی زبان، در مدت بیش از یک سال منجر به به خطر افتادن تا ۱۱۵ میلیون کارت پرداخت آمریکایی شده است. گزارش موسسه SecAlliance نشان میدهد که چگونه مهندسی اجتماعی پیشرفته با تکنیک‌های عبور از احراز هویت بلادرنگ و زیرساخت‌های مقیاس‌پذیر فیشینگ ترکیب شده و موجب پیدایش نسل جدیدی از کلاهبرداری کارت شده است.
شیوه‌های اجرای حملات
کیت‌های فیشینگ و مدل توزیع
در بطن این عملیات، کیت‌های فیشینگ قابل استفاده مجدد قرار دارند که از طریق کانال تلگرامی به نام «dy-tongbu» منتشر می‌شوند. این ابزارها با تکیه بر مخفی‌کاری طراحی شده‌اند؛ به‌طوری‌که با ژئوفنسینگ، دامنه هدف فقط به منطقه موردنظر محدود میشود، مسدودسازی IP و یوزر ایجنت راه بررسی توسط پژوهشگران امنیتی را می‌بندد و صفحات تنها روی دستگاههای موبایل و برای قربانیان احتمالی نمایش داده می‌شوند.
مهندسی اجتماعی و شیوه‌های ارسال
مهاجمان عموماً پیامک، iMessage یا پیامهای RCS مشابه با اطلاع‌رسانی‌های رسمی (مانند اعلان تحویل مرسوله، هزینه عوارض یا درخواست تأیید حساب) ارسال میکنند که کاربران را ترغیب به کلیک روی لینک‌های هدایت‌شده به صفحات تقلبی می‌نماید. این صفحات به گونه‌ای طراحی شده‌اند که ضمن تطابق با زمان ارسال رمزهای یکبار مصرف (OTP)، از قربانی اطلاعات شخصی و کارت بانکی درخواست میکنند تا نرخ موفقیت فیشینگ را افزایش دهند.
پیشرفت فنی: سواستفاده از OTP و کیفپول دیجیتال
پس از دریافت آنی اطلاعات کاربری و رمزهای یکبار مصرف، مجرمان کارتها را در کیف‌پول‌های دیجیتال روی دستگاههای خود تعریف میکنند. این قابلیت به آنها اجازه میدهد بدون نیاز به کارت فیزیکی، همزمان هم در فروشگاه‌های مجازی و دستگاههای خودپرداز (ATM) و هم در پایانه‌های فیزیکی خرید کنند. کارشناسان این گذار به سمت تامین کیفپول دیجیتال را تحولی بنیادین در روش‌های کلاهبرداری کارت تلقی میکنند.
چه کسانی پشت این حملات هستند؟
تحقیقات نشان داده فردی با نام مستعار «Lao Wang» بنیان‌گذار پلتفرم وسیع جمع‌آوری مدارک موبایلی است؛ پلتفرمی که اکنون گروه‌های جرایم سایبری بسیاری از آن بهره می‌برند. این اکوسیستم تا سطح فروشگاه‌های آنلاین جعلی، سایت‌های کارگزاری غیرواقعی، دستگاههای از پیش آماده‌شده، حساب‌های تاجرانه تقلبی و حتی تبلیغات پولی در پلتفرم‌های اصلی برای جذب ترافیک رشد یافته است.
ویژگی‌ها، مقایسه و مزایای راهکارهای ضدکلاهبرداری
نهادهای مالی و شرکت‌های امنیتی نیز روش خود را به‌روز کرده‌اند. محصولات نوین ضدکلاهبرداری و امنیت موبایل قابلیت‌هایی مانند:
- بیومتریک رفتاری برای شناسایی کنش‌های مشکوک و دور زدن OTP
- اثر انگشت دستگاه و گواهی رمزنگاری در تایید کیفپول دیجیتال
- امتیازدهی تراکنش بلادرنگ و چالش‌های MFA تطبیقی
- فیلترینگ پیشرفته اس‌ام‌اس مبتنی بر اطلاعات تهدید و بازنویسی URL
این راهکارها، نسبت به آنتیویروسهای سنتی و فیلترهای پیامک ابتدایی، امنیت بیشتری دارند چون بر شاخص‌های تقلب مانند رفتار، سالم بودن دستگاه و زمینه تراکنش تمرکز میکنند و صرفاً وابسته به امضای فایل نیستند.
کاربردها و اهمیت بازار
کنترل پیشرفته تقلب کاربردهایی نظیر جلوگیری از تصاحب حساب توسط صادرکنندگان کارت، تایید درخواست کیفپول توسط سرویس‌دهندگان، کاهش برگشت پول برای فروشگاه‌ها و محافظت مشترکین توسط اپراتورها از اسمیشینگ دارد. با گسترش پرداخت دیجیتال و کیف‌پول‌های موبایلی در سراسر جهان، نیاز به فناوری‌های ضدکلاهبرداری پیشرفته، سرویسهای توکنیزاسیون و رصد تراکنش‌ها به پیش‌برنده اصلی بازار فین‌تک و امنیت سایبری بدل شده است.
گام‌های عملی: چگونه بررسی کنیم که قربانی شده‌ایم یا نه؟
با توجه به ماهیت پنهانی این حملات و نبود فهرست عمومی کارت‌های آسیب‌دیده، افراد باید خودشان فعالانه سوءاستفاده از حساب‌شان را رصد کنند:
- سوابق تراکنش حساب و کارت بانکی را برای هزینه‌های ناشناخته بررسی کنید.
- فعالیت کیفپول دیجیتال را کنترل و کارتها یا دستگاههای ناآشنا را حذف نمایید.
- به پیام رمز یکبار مصرف یا درخواست تایید هویتی که خودتان درخواست نکرده‌اید، حساس باشید.
- با استفاده از سرویسهای هشدار نقض داده، بررسی کنید که آیا اطلاعات شما در نشت‌ها دیده میشود یا خیر.
- اعلان بلادرنگ تراکنش و آستانه هشدار پایین را فعال نمایید.
- در صورت مشاهده تراکنش یا تامین مشکوک، کارت را تعویض کنید.
جمع‌بندی
کمپین‌های اسمیشینگ از کلاهبرداری‌های ساده پیامکی به عملیات بسیار هدفمند با ترکیب مهندسی اجتماعی، جمع‌آوری بلادرنگ اطلاعات و تامین کیفپول دیجیتال تکامل یافته‌اند. سازمان‌ها باید دفاع خود را فراتر از آنتی‌ویروس و فایروال به تحلیل رفتاری، توکنیزاسیون و تأیید دستگاه ارتقا دهند. کاربران نیز باید هوشیار مانده، حساب‌ها را پایش و اعلان‌ها را فعال کنند و هرگونه درخواست تایید غیرمنتظره را نشانه‌ای از احتمال خطر حساب تلقی نمایند.
منبع: techradar
نظرات