פושעי סייבר מפעילים חוות קליקים כדי לעקוף הגנות סייבר

דוח הפישינג וההונאה לשנת 2020 של מעבדות F5 Labs חושף כי פושעי סייבר מעסיקים עשרות "עובדים" כדי לחדור ידנית לאתרי יעד עם הרשאות שאספו

מגפת הקורונה מעודדת את פושעי הסייבר למצוא פתרונות העוקפים את הגנות הסייבר. על פי המהדורה הרביעית של דוח הפישינג וההונאה (Phishing and Fraud Report) ¹, בה שולב לראשונה מחקר חדש של Shape Security, תוקפים מתחילים לאמץ חוות קליקים כתוצאה מפתרונות ובקרות אבטחה משופרות של תעבורת בוטים (botnet).

הפעלת חוות קליקים כרוכה בהעסקת עשרות "עובדים" מרוחקים שמנסים באופן שיטתי להיכנס ידנית לאתר יעד באמצעות הרשאות שנאספו לאחרונה. הקשר מגיע מאדם אמיתי המשתמש בדפדפן אינטרנט רגיל, דבר שמקשה על גילוי פעילות מרמה.

סורין בויאנגיו, מהנדס מערכות בחברת F5 בישראל אמר כי: "המגמה של התקפות פישינג והונאה צפויה לגדול, במיוחד בתקופה האחרונה כאשר הרבה עסקים מעבירים את רוב הפעילות שלהם לפלטפורמות אינטרנטיות. לא רק אפליקציות פיננסיות חשופות למתקפות הונאה, הסיכון קיים לכלל הפלטפורמות, כאשר מתקפת הונאה, גם אם לא גרמה לנזק כספי ישיר, היא בעלת פוטנציאל לגרום לנזק תדמיתי לארגון".

על פי הדוח, גם לנפח התקפות נמוך יחסית יש השפעה. כדוגמה, Shape Security ניתחה 14 מיליון כניסות חודשיות בארגון של שירותים פיננסיים ורשמה שיעור הונאות ידניות של 0.4%. נתון זה שווה ערך ל-56,000 ניסיונות כניסה של נוכלים, ומספרים אלו רק אמורים לעלות.

חוקרי האבטחה של Shape רשמו גם עלייה בהיקף ה-Real time phishing proxy (RTPP) שיכולים ללכוד ולהשתמש בקודים לאימות רב-גורמים (MFA). ה-RTPP פועל כ"אדם באמצע" (man-in-the-middle) ומיירט עסקאות של הקורבן עם אתר לגיטימי. מכיוון שההתקפה מתרחשת בזמן אמת, האתר הזדוני יכול להפוך לאוטומטי את כל תהליך ההפעלה מחדש של אימות מבוסס זמן כגון MFA. הוא יכול אפילו לגנוב ולעשות שימוש חוזר בעוגיות (session cookies).

שרתי RTPP שהיו בשימוש פעיל לאחרונה כוללים את Modlishka² ו- Evilginx2³. מעבדות F5 Labs ו- Shape Security ערוכות על מנת לנטר את השימוש הגובר ב- RTPP בחודשים הקרובים.

"התקפות פישינג ימשיכו להצליח כל עוד יש בן אדם שניתן לתפעל אותו מבחינה פסיכולוגית בדרך כלשהי. בקרות אבטחה ודפדפני אינטרנט כאחד חייבים להיות מסוגלים להדגיש בפני המשתמשים את אתרי המרמה", אמר דייוויד וורברטון, מומחה איומים בכיר במעבדות F5 Labs. "אנשים וארגונים צריכים גם להיות מודרכים ללא הרף על הטכניקות העדכניות ביותר בהן משתמשים הנוכלים. זה קריטי לשים דגש גדול על האופן שבו תוקפים רוכבים על גבי מגמות מתפתחות כמו מגפת הקורונה".

¹ דוח ה- Phishing and Fraud Report בוחן השנה ממרכז ה-SOC של F5 אירועי פישינג שהתרחשו במהלך חמש שנים, צולל עמוק לאתרי פישינג פעילים המסופקים על ידי שירותי ה-Webroot BrightCloud Intelligence Services של OpenText ומנתחים נתוני שוק ה-dark web מ- Vigilante. יחד, הם בונים תמונה שלמה ועקבית של עולם הפישינג.

² https://github.com/drk1wi/Modlishka

³ https://github.com/kgretzky/evilginx2