Microsoft oborio fišing tržište iza milijardu poruka
SMS o neplaćenoj putarini ili kazni retko kad kroji i šalje usamljeni prevarant. To se kupuje kao usluga u veb prodavnici, a jednu takvu, YAM Store, Microsoft je sa svojim partnerima oborio na osnovu sudskog naloga sa Floride. U njoj su se prodavala tri fišing paketa, CoGUI, Haozi i Iron Man, koje su prema Microsoftovoj proceni napravili akteri sa kineskog jezičkog područja. Od januara su poslali preko milijardu poruka, mejlom i SMS-om, na više od 75.000 organizacija u preko 150 zemalja. Prodavci ove usluge su zaradili na desetine miliona dolara. Iron Man nudi preko 2.300 gotovih šablona za banke, kurirske službe, poreske uprave i državne organe. Mamci su dobro poznati: neplaćena putarina, kazna, paket koji čeka, nalog koji treba da se potvrdi. Deo napada nije ni tražio lozinku, nego je žrtvu navodio da sama odobri pristup svom nalogu. Prodavnica je nudila i naloge u Microsoftovom i Google-ovom oblaku, do kojih je dolazila kupovinom isteklih domena pravih organizacija i ponovnim dizanjem njihovih sajtova. Microsoft je ugasio preko 20.000 povezanih naloga i blokirao više od 100.000 domena. Uhapšenih nema.
Fišing odavno nije zanat, nego franšiza. Prevarant ne mora da ume ništa osim da plati pretplatu i izabere državu koju cilja. Zato gašenje prodavnice takvih usluga vredi više od gašenja pojedinačnih sajtova, jer pogađa sve kupce te prodavnice odjednom. Ipak, Microsoft priznaje da je ovo samo deo veće mreže takvih prevara. Kupci su već jednom prešli sa CoGUI na Iron Man čim se pojavio bolji proizvod, pa nema razloga da sledeći put bude drugačije. Lažne kazne „Puteva Srbije”, o kojima smo pisali u julu, išle su preko dve druge takve platforme, Darcula i Phoenix. Mamac za Srbiju, dakle, i dalje je u ponudi — samo u drugoj prodavnici.
- Ne plaćaj kaznu, putarinu ili dostavu preko linka iz SMS-a — sam otvori zvanični sajt ili aplikaciju i proveri da li dug uopšte postoji
- Ako ti poruka ili stranica traži da prepišeš kod na microsoft.com/devicelogin ili sličnoj adresi, a nisi sam pokrenuo prijavu na nekom uređaju, odmah gasi pregledač i briši tu poruku — tako se predaje pristup nalogu bez lozinke
- Ako firma ne koristi prijavu kodom za uređaje (device code flow), blokiraj je kroz Conditional Access u Entra ID-ju
- Proveri da neki od isteklih domena vaše organizacije nije ponovo registrovao neko drugi — YAM Store je tako dolazio do naloga u oblaku
- Ako si uneo podatke kartice na sumnjivu stranicu, odmah zovi banku i blokiraj karticu, pa poruku prijavi Nacionalnom CERT-u