Cattivi attori hackerano migliaia di caselle di posta per appropriarsi indebitamente di buoni regalo

Il giornalista e ricercatore di sicurezza indipendente Brian Krebs ha recentemente pubblicato un rapporto intrigante e un esame sulle attività di una banda criminale che sta violando le caselle di posta elettronica per pescare carte regalo.

Le informazioni sono state fornite a Krebs da quella che descrive come una "fonte attendibile" che rimane anonima ma si dice anche che abbia "visibilità" in una rete che viene sfruttata attivamente dagli hacker per mascherare le loro tracce e mantenere anonimo il loro traffico web dannoso.

Gli hacker ricorrono a comprovati attacchi di forza bruta

Gli hacker stanno usando la forza bruta pura e semplice, tentando di violare milioni di account di posta elettronica ogni giorno. Secondo la fonte citata da Krebs, questo va avanti da tre anni.

A causa del fatto che i criminali utilizzano la forza bruta e non le credenziali rubate verificate, le percentuali di successo di cui godono sono basse come valore percentile, ma ammontano comunque a molte caselle di posta violate con successo. Dato che la stima è che vengono eseguiti tra cinque e dieci milioni di tentativi di accesso ogni giorno, una percentuale di successo dello 0,1 percento ammonterebbe comunque a decine di migliaia di e-mail violate con successo ogni giorno.

Curiosamente, gli hacker non fanno nulla di troppo drastico con l'accesso che hanno. Krebs lo chiama l'approccio "basso e lento": nessun tentativo di phishing dei contatti, niente spam, semplicemente uno script che esegue la scansione delle caselle di posta alla ricerca di buoni regalo digitali rivendibili.

Rapina senza esposizione

Questo approccio consente agli hacker di rubare somme di denaro relativamente piccole da singole entità per un periodo di tempo prolungato e tende a non focalizzare i riflettori sulla sicurezza sulla loro attività tanto quanto fa qualcosa di simile a un importante lavoro di ransomware. Le carte rubate vengono poi rivendute su vari mercatini online e diventano sostanzialmente impossibili da rintracciare.

L'emergere di sempre più piattaforme e sistemi che offrono questo tipo di servizio di carte regalo o carte fedeltà offre a gruppi di minacce come quello descritto da Krebs un terreno più fertile con cui lavorare.

Inoltre, mostra che a volte i criminali che cercano di mantenere un basso profilo possono continuare il loro lavoro dannoso per anni senza incappare in grossi problemi con le forze dell'ordine, semplicemente perché non stanno cercando di raccogliere troppo come una volta.

L'approccio della forza bruta è anche molto semplice e consente a simili cattivi attori "bassi e lenti" di continuare a rubare denaro agli individui senza rischi significativi o facendo troppi sforzi.