Microsoft zidentyfikował sieć dostawców narzędzi phishingowych przyjmujących płatności w Tetherze (USDT) i powiązał dostarczane przez nich narzędzia z kampaniami wymierzonymi w aż 75 000 organizacji. Odkrycie uwypukla, w jaki sposób przestępcy świadczy usługi wykorzystują stablecoiny do pobierania płatności i jak ten model płatności pomaga napędzać ataki phishingowe na skalę przemysłową.

Dostawcy w modelu phishing-as-a-service

Według Microsoftu zidentyfikowane podmioty działają jako dostawcy w modelu phishing-as-a-service. Oznacza to, że niekoniecznie przeprowadzają każdy atak samodzielnie. Zamiast tego sprzedają lub wynajmują gotowe narzędzia phishingowe innym przestępcom, którzy realizują faktyczne kampanie. Taki podział pracy, w którym twórcy narzędzi obsługują przestępców-klientów zamiast atakować bezpośrednio, to struktura obserwowana przez badaczy także na innych przestępczych rynkach usług, obniża ona bowiem umiejętności techniczne potrzebne do przeprowadzenia wiarygodnych kampanii.

Jedną z zgłaszanych cech tych dostawców jest przyjmowanie USDT, stablecoina powiązanego z dolarem amerykańskim emitowanego przez Tether, jako formy płatności. Stablecoin to kryptowaluta zaprojektowana tak, aby utrzymywać stałą wartość — w tym przypadku jeden dolar amerykański za token. Stabilność ceny ma w tym kontekście znaczenie, ponieważ eliminuje ryzyko zmienności związane z posiadaniem bardziej zmiennych kryptowalut między otrzymaniem płatności a jej wypłatą. Przyjmowanie USDT pozwala dostawcom otrzymywać płatności bez korzystania z tradycyjnych kont bankowych, które mogą być trudniejsze do prześledzenia przez śledczych niż zwykłe przelewy.

Odkrycie Microsoftu dotyczy konkretnego przestępczego rynku, a nie płatności w kryptowalutach ogólnie. Przyjmowanie USDT to zgłaszana cecha tych konkretnych dostawców; nie oznacza to, że zwykłe transakcje USDT są podejrzane, a sam Tether jest powszechnie używanym narzędziem finansowym o legalnych zastosowaniach. Tym niemniej wzór ten jest spójny z wcześniejszymi badaniami bezpieczeństwa Microsoftu, w tym z wcześniejszym ostrzeżeniem przed kampaniami złośliwego oprogramowania krypto, które ewoluowały od prostych narzędzi kradzieży do bardziej wyrafinowanych backdoorów.

Jak narzędzia wiążą się z 75 000 organizacji

Microsoft poinformował, że narzędzia phishingowe dostarczane przez zidentyfikowane podmioty były używane przeciwko nawet 75 000 organizacji. Liczba ta opisuje potencjalny zasięg kampanii, to znaczy organizacje, które były celami ataków lub były nim narażone przy użyciu tych narzędzi — niekoniecznie organizacje w pełni skompromitowane.

To rozróżnienie ma znaczenie. Bycie celem kampanii phishingowej nie oznacza automatycznie, że konta lub dane organizacji zostały uzyskane. Skala 75 000 organizacji ilustruje jednak, jak szeroko model dostawcy może rozprzestrzeniać zdolności ataku: niewielka liczba dostawców może umożliwić znacznie większą liczbę kampanii prowadzonych przez odrębnych przestępców, którzy kupują lub wynajmują narzędzia.

Na podstawie dostępnych informacji Microsoft nie podał publicznie, do jakich branż czy regionów należą te 75 000 organizacji. Wnioskowanie o geografii, podziale na sektory czy potwierdzonych liczbach ofiar ponad to, co przypisał Microsoft, wykraczałoby poza to, co uzasadniają dowody.

Co to oznacza dla organizacji i użytkowników kryptowalut

Odkrycie pokazuje, jak rynki phishing-as-a-service działają podobnie do legalnych firm software-as-a-service — z dostawcami, klientami i infrastrukturą płatniczą. Kryptowaluty, a w szczególności stablecoiny, mogą pojawiać się jako metoda płatności na tych nielegalnych rynkach, ponieważ transakcje mogą szybko przekraczać granice i odbywać się poza tradycyjnym systemem bankowym.

Phishing pozostaje jednym z najczęściej zgłaszanych sposobów uzyskania przez atakujących początkowego dostępu do organizacji, ponieważ pojedyncze przechwycone poświadczenie może umożliwić przejęcie konta i dalsze oszustwa. Dla organizacji praktyczna odpowiedź jest taka sama niezależnie od tego, jak dostawcy otrzymują płatności:

• Zweryfikuj nadawcę przed kliknięciem jakiegokolwiek linku w e-mailu lub wiadomości.
• Sprawdź, czy strony logowania używają poprawnej domeny.
• Włącz odporną na phishing autoryzację wieloskładnikową, która wymaga fizycznego klucza lub potwierdzenia na urządzeniu zamiast kodu wysyłanego SMS-em.
• Zgłaszaj podejrzane wiadomości do działu IT lub zespołu bezpieczeństwa, zamiast je ignorować.

Dla użytkowników USDT lub innych stablecoinów odkrycie Microsoftu jest przypomnieniem, że infrastruktura płatności w kryptowalutach jest częścią współczesnej gospodarki przestępczej, mimo że zdecydowana większość aktywności stablecoinów jest legalna. Świadomość, jak działają te rynki, pomaga wyjaśnić, dlaczego badacze bezpieczeństwa i organy ścigania uważnie przyglądają się wzorcom płatności on-chain powiązanym z cyberprzestępczością. Powiązane badania bezpieczeństwa Microsoftu wykazały wcześniej, jak narzędzia kradzieży kryptowalut mogą ewoluować w trwałe zagrożenia zarówno dla osób prywat, jak i organizacji.

Każdy, kto otrzyma nieoczekiwaną prośbę o logowanie, wiadomość wzywającą do weryfikacji poświadczeń lub e-mail proszący o kliknięcie linku w celu zabezpieczenia konta, powinien zachować ostrożność. To częste mechanizmy dostarczania kampanii phishingowych tego typu, które opisują badania Microsoftu. Kolejne biuletyny ostrzegawcze, publikowane wskaźniki lub działania wymiaru sprawiedliwości wymierzone w sieci dostawców takie jak ta dałyby jaśniejszy obraz rozwoju ekosystemu — dlatego zespoły bezpieczeństwa i badacze zwykle monitorują kanały informacji o zagrożeniach dostawców po tego rodzaju ujawnieniach.

Zastrzeżenie: Niniejszy artykuł ma wyłącznie charakter informacyjny i nie stanowi porady finansowej ani inwestycyjnej. Rynki kryptowalut i aktywów cyfrowych wiążą się ze znacznym ryzykiem. Zawsze przeprowadzaj własne badania przed podjęciem decyzji.