18.11.2024
Black Friday i Cyber Monday to najważniejsze daty w kalendarzu każdego sprzedawcy e-commerce. Wzmożony ruch, tysiące transakcji i miliony klientów szukających najlepszych ofert to idealna okazja do zwiększenia sprzedaży. Jednak dla cyberprzestępców te dni również są żniwami – wykorzystują one nieuwagę zarówno konsumentów, jak i sprzedawców, aby przeprowadzać złożone ataki phishingowe, wyłudzając dane osobowe, loginy i dane płatnicze. Eksperci z EclecticIQ ostrzegają przed szczególnie zaawansowaną kampanią phishingową prowadzoną przez grupę „SilkSpecter”. Jak działają oszuści, jakie zagrożenia stwarzają dla sprzedawców i co można zrobić, aby chronić siebie oraz swoich klientów?
Dlaczego Black Friday to czas wzmożonych ataków?
Okres wyprzedaży Black Friday wiąże się z intensywnymi zakupami online. Konsumenci, przyciągani atrakcyjnymi rabatami, często działają impulsywnie, klikając w oferty bez dokładnej weryfikacji stron internetowych. Cyberprzestępcy, w tym grupa „SilkSpecter”, doskonale to wykorzystują. Tworzą oni fałszywe strony, które imitują znane sklepy internetowe, prezentując oferty „nie do odrzucenia”, często z rabatami sięgającymi 80%. W ten sposób zdobywają dane płatnicze (CHD), dane logowania (SAD) oraz informacje osobowe klientów (PII).
Jak działają cyberprzestępcy?
Metody stosowane przez grupę „SilkSpecter” są zaawansowane i trudne do wykrycia, zarówno przez klientów, jak i sprzedawców. Oto najważniejsze taktyki stosowane w tegorocznych atakach:
1. Tworzenie fałszywych stron sklepów
Cyberprzestępcy korzystają z platform SaaS, takich jak chińska „oemapps”, która umożliwia szybkie tworzenie realistycznych kopii stron znanych marek. Dzięki temu fałszywe strony wyglądają niemal identycznie jak oryginalne sklepy. Ataki są szczególnie niebezpieczne, ponieważ fałszywe domeny często przypominają te autentyczne, z niewielkimi zmianami w adresie URL (np. ikea-euonline.com zamiast ikea.com).
2. Wykorzystanie legalnych systemów płatności
Przestępcy stosują systemy takie jak Stripe, które są dobrze znane i budzą zaufanie klientów. Po dokonaniu płatności użytkownik otrzymuje potwierdzenie, a transakcja wydaje się zakończona. W rzeczywistości jednak dane płatnicze są przesyłane na serwery kontrolowane przez hakerów.
3. Personalizacja ataków
Fałszywe strony automatycznie dopasowują się do języka i lokalizacji użytkownika dzięki API Google Translate oraz zbieraniu danych takich jak adres IP, lokalizacja czy typ przeglądarki. Taka personalizacja zwiększa skuteczność ataków i utrudnia ich wykrycie.
4. Zbieranie dodatkowych danych
Strony phishingowe proszą klientów o podanie numerów telefonów, co umożliwia prowadzenie dalszych ataków, takich jak vishing (oszustwa telefoniczne) czy smishing (oszustwa SMS-owe).
5. Wykorzystanie luk w infrastrukturze
Przestępcy korzystają z tanich chińskich rejestratorów domen, takich jak West263 czy Alibaba Cloud, które oferują niewielkie zabezpieczenia. Dzięki temu szybko rejestrują nowe domeny phishingowe i utrzymują ciągłość działań.
Zagrożenia dla sprzedawców e-commerce
Ataki phishingowe, choć bezpośrednio skierowane na klientów, mogą mieć poważne konsekwencje dla sprzedawców. Oto najważniejsze z nich:
- Utrata zaufania klientów
Jeśli Twoja marka zostanie wykorzystana w kampanii phishingowej, klienci mogą obwiniać Cię za brak odpowiedniej ochrony. - Problemy prawne
Sprzedawcy są zobowiązani do ochrony danych klientów zgodnie z RODO. W przypadku naruszenia bezpieczeństwa, nawet jeśli nie z Twojej winy, możesz być zobowiązany do złożenia raportu i wyjaśnień przed organami nadzoru. - Spadek sprzedaży
Utrata reputacji prowadzi do zmniejszenia liczby zamówień. Klienci, którzy poczuli się zagrożeni, mogą zrezygnować z dalszych zakupów. - Koszty związane z odzyskaniem reputacji
Konieczność przeprowadzenia kampanii informacyjnych i wzmocnienia zabezpieczeń generuje dodatkowe koszty.
Jak sprzedawcy mogą się bronić?
Aby minimalizować ryzyko, sprzedawcy powinni wprowadzić kompleksowe działania ochronne. Oto najważniejsze kroki:
1. Monitorowanie własnej marki
- Używaj narzędzi takich jak Google Alerts, aby śledzić wzmianki o swojej marce w internecie.
- Zainwestuj w usługi monitorowania domen, które wykrywają fałszywe strony podszywające się pod Twój sklep.
2. Wdrażanie zabezpieczeń technologicznych
- Zainstaluj certyfikat SSL, aby wszystkie połączenia z Twoją stroną były szyfrowane.
- Regularnie aktualizuj swoje oprogramowanie, aby eliminować potencjalne luki bezpieczeństwa.
- Wykorzystuj systemy wykrywania oszustw, które monitorują podejrzane aktywności w czasie rzeczywistym.
3. Edukowanie klientów
- Umieść na swojej stronie widoczne ostrzeżenia o możliwych atakach phishingowych i przypominaj o sprawdzaniu adresów URL.
- Informuj klientów, aby nigdy nie podawali swoich danych przez e-mail ani SMS.
4. Zabezpieczenie procesów płatniczych
- Współpracuj z renomowanymi dostawcami usług płatniczych, którzy oferują dodatkowe warstwy ochrony, takie jak uwierzytelnianie 3D Secure.
- Zachęcaj klientów do korzystania z wirtualnych kart płatniczych, które są jednorazowe i minimalizują ryzyko kradzieży danych.
5. Audyt i szkolenia
- Regularnie przeprowadzaj audyty bezpieczeństwa swojej strony.
- Szkol swoich pracowników w zakresie rozpoznawania prób phishingu i odpowiedzi na incydenty.
Jak chronić klientów?
Twoi klienci są głównym celem ataków, dlatego Twoim zadaniem jest ich ochrona. Wdrożenie kilku prostych zasad może znacząco zwiększyć bezpieczeństwo:
- Transparentność: Informuj klientów o tym, jak chronisz ich dane, oraz przypominaj, aby unikali podejrzanych stron i ofert.
- Weryfikacja kont klientów: Stosuj dwuetapową weryfikację logowania, aby utrudnić dostęp do kont w przypadku wycieku danych.
- Automatyczne powiadomienia: Wysyłaj e-maile lub SMS-y w przypadku nietypowych aktywności, takich jak logowanie z nieznanego urządzenia.
Podsumowanie
Cyberprzestępcy, tacy jak grupa „SilkSpecter”, wykorzystują technologiczną biegłość i psychologiczne manipulacje, aby przeprowadzać skuteczne ataki na klientów e-commerce. Sprzedawcy muszą być świadomi zagrożeń i wdrażać proaktywne środki ochrony. Odpowiedzialne podejście do bezpieczeństwa to nie tylko sposób na uniknięcie strat finansowych, ale także budowanie długoterminowego zaufania klientów. W świecie e-commerce reputacja jest wszystkim – zadbaj o nią, zanim będzie za późno.
