Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity / Cyber Crime

Cyber Crime

Spyware ‘anomali’ mencuri kredensial di perusahaan industri

by

Para peneliti telah menemukan beberapa kampanye spyware yang menargetkan perusahaan industri, yang bertujuan untuk mencuri kredensial akun email dan melakukan penipuan keuangan atau menjualnya kembali kepada aktor lain.

Para aktor menggunakan alat spyware yang tersedia tetapi hanya menggunakan setiap varian untuk waktu yang sangat terbatas untuk menghindari deteksi.

Contoh malware yang digunakan dalam serangan termasuk AgentTesla/Origin Logger, HawkEye, Noon/Formbook, Masslogger, Snake Keylogger, Azorult, dan Lokibot.

Serangan spyware ini disebut ‘anomali’ karena sifatnya yang berumur sangat pendek yaitu sekitar 25 hari, sedangkan sebagian besar kampanye spyware berlangsung selama beberapa bulan atau bahkan bertahun-tahun.

Durasi serangan dibandingkan dengan statistik dari semua deteksi
Sumber: Kaspersky

Jumlah sistem yang diserang dalam kampanye ini selalu di bawah seratus, setengahnya adalah mesin ICS (sistem komputer terintegrasi) yang digunakan di lingkungan industri.

Elemen lain yang tidak biasa adalah menggunakan protokol komunikasi berbasis SMTP untuk mengekstrak data ke server C2 yang dikendalikan aktor.

SMTP adalah saluran satu arah yang hanya melayani pencurian data, SMTP berkembang melalui kesederhanaan dan kemampuannya untuk berbaur dengan lalu lintas jaringan biasa.

Mencuri kredensial untuk melanjutkan infiltrasi
Para aktor menggunakan kredensial karyawan curian yang mereka peroleh melalui spear-phishing untuk menyusup lebih dalam dan bergerak secara lateral di jaringan perusahaan.

Selain itu, mereka menggunakan kotak surat perusahaan yang dikompromikan dalam serangan sebelumnya sebagai server C2 untuk serangan baru, membuat deteksi dan penandaan korespondensi internal berbahaya menjadi sangat menantang.

diagram operasional
Sumber: Kaspersky

Dalam hal jumlah, para analis mengidentifikasi setidaknya 2.000 akun email perusahaan yang disalahgunakan sebagai server C2 sementara dan 7.000 akun email lainnya disalahgunakan dengan cara lain.

Menjual di pasar Darkweb
Banyak kredensial akun RDP, SMTP, SSH, cPanel, dan VPN email yang dicuri dalam kampanye ini diposting di pasar web gelap dan akhirnya dijual ke pelaku ancaman lainnya.

Menurut analisis statistik Kaspersky, sekitar 3,9% dari semua akun RDP yang dijual di pasar ilegal ini adalah milik perusahaan industri.

Akun RDP (protokol desktop jarak jauh) sangat berharga bagi penjahat dunia maya karena memungkinkan mereka mengakses mesin yang disusupi dari jarak jauh dan berinteraksi langsung dengan perangkat tanpa menimbulkan tanda bahaya.

Sumber : Bleeping Computer

FBI menautkan ransomware Diavol ke grup kejahatan dunia maya TrickBot

by

FBI telah secara resmi menghubungkan operasi ransomware Diavol ke Grup TrickBot, pengembang malware di balik trojan perbankan TrickBot yang terkenal kejam.

Geng TrickBot, alias Wizard Spider, adalah pengembang infeksi malware yang telah merusak jaringan perusahaan selama bertahun-tahun, umumnya mengarah pada serangan ransomware Conti dan Ryuk, penyusupan jaringan, penipuan keuangan, dan spionase perusahaan.

Pada Juli 2021, peneliti dari FortiGuard Labs merilis analisis ransomware baru bernama Diavol (bahasa Rumania untuk Iblis) yang terlihat menargetkan korban perusahaan.

Para peneliti melihat muatan ransomware Diavol dan Conti disebarkan di jaringan dalam serangan ransomware yang sama pada awal Juni 2021.

Setelah menganalisis dua sampel ransomware, kesamaan ditemukan, seperti penggunaan operasi I/O asinkron untuk antrian enkripsi file dan parameter baris perintah yang hampir identik untuk fungsi yang sama.

Sebulan kemudian, peneliti IBM X-Force membangun hubungan yang lebih kuat antara ransomware Diavol dan malware TrickBot Gang lainnya, seperti Anchor dan TrickBot.

FBI menghubungkan ransomware Diavol ke geng TrickBot
FBI telah secara resmi mengumumkan bahwa mereka telah menghubungkan operasi Ransomware Diavol ke Geng TrickBot dalam indikator berbagi penasehat baru dari kompromi yang terlihat pada serangan sebelumnya.

Sejak itu, FBI telah melihat tuntutan tebusan berkisar antara $10.000 dan $500.000, dengan pembayaran yang lebih rendah diterima setelah negosiasi tebusan.

Warning.txt ransom note dari Diavol ransomware

Jumlah ini sangat kontras dengan tebusan yang lebih tinggi yang diminta oleh operasi ransomware lain yang terkait dengan TrickBot, seperti Conti dan Ryuk, yang secara historis meminta tebusan jutaan dolar.

FBI dapat secara resmi menghubungkan Diavol ke Geng TrickBot setelah penangkapan Alla Witte, seorang wanita Latvia yang terlibat dalam pengembangan ransomware untuk geng malware.

“Alla Witte memainkan peran penting untuk operasi TrickBot dan berdasarkan wawasan permusuhan mendalam AdvIntel sebelumnya, dia bertanggung jawab atas pengembangan ransomware Diavol dan proyek frontend/backend yang dimaksudkan untuk mendukung operasi TrickBot dengan ransomware khusus yang disesuaikan dengan bot backconnectivity antara TrickBot dan Diavol,” kata Kremez

“Nama lain untuk ransomware Diavol disebut ransomware “Enigma” yang dimanfaatkan oleh kru TrickBot sebelum merek ulang Diavol.”

Perlu dicatat bahwa ransomware Diavol awalnya membuat catatan tebusan bernama ‘README_FOR_DECRYPT.txt’ seperti yang ditunjukkan oleh penasihat FBI, tetapi geng ransomware beralih pada bulan November ke catatan tebusan bernama ‘Warning.txt.’

FBI juga mendesak semua korban, terlepas dari apakah mereka berencana untuk membayar uang tebusan, untuk segera memberi tahu penegak hukum tentang serangan untuk mengumpulkan IOC baru yang dapat mereka gunakan untuk tujuan investigasi dan operasi penegakan hukum.

Jika Anda terkena serangan Diavol, penting juga untuk memberi tahu FBI sebelum membayar karena mereka “mungkin dapat memberikan sumber daya mitigasi ancaman kepada mereka yang terkena dampak ransomware Diavol.”

Sumber : Bleeping Computer

Hacks Terburuk tahun 2021

by

2021 adalah musim terbuka bagi penyerang di seluruh dunia. Geng Ransomware sangat agresif, menargetkan fasilitas perawatan kesehatan, sekolah, dan infrastruktur penting pada tingkat yang mengkhawatirkan. Dengan pandemi yang masih berkobar di latar belakang, administrator sistem, penanggap insiden, penegak hukum global, dan semua jenis praktisi keamanan bekerja tanpa lelah untuk melawan rentetan serangan.

Inilah retrospektif tentang pelanggaran terburuk tahun ini, kebocoran, paparan data, serangan ransomware, kampanye peretasan yang disponsori negara, dan kekacauan digital.

Colonial Pipeline
Pada awal Mei, ransomware menghantam Colonial Pipeline, yang mengoperasikan pipa sepanjang 5.500 mil yang membawa hampir setengah dari bahan bakar Pantai Timur—bensin, solar, dan gas alam—dari Texas hingga New Jersey. Sebagai akibat dari serangan tersebut, perusahaan menutup sebagian jalur pipa baik untuk menampung malware maupun karena serangan tersebut membuat sistem penagihannya offline. Colonial Pipelines membayar tebusan 75 bitcoin—bernilai lebih dari $4 juta pada saat itu—dalam upaya untuk menyelesaikan insiden tersebut.

Kaseya
Pada awal Juli, peretas yang terkait dengan geng ransomware REvil yang berbasis di Rusia mengeksploitasi kelemahan pada alat Administrator Sistem Virtual Kaseya. REvil menetapkan uang tebusan sekitar $45.000 untuk banyak korban hilir dan sebanyak $5 juta untuk penyedia layanan terkelola itu sendiri. Geng juga menawarkan untuk merilis alat dekripsi universal untuk sekitar $70 juta. Tapi pada akhir Juli, Kaseya memperoleh decryptor universal dan mulai mendistribusikannya ke target. Pada awal November, Departemen Kehakiman AS mengumumkan bahwa mereka telah menangkap salah satu pelaku utama serangan Kaseya, seorang warga negara Ukraina yang ditangkap pada bulan Oktober.

Twitch
Layanan streaming langsung Twitch mengkonfirmasi bahwa entitas yang tidak dikenal merilis 128 GB data kepemilikan yang dicuri dari perusahaan. Pelanggaran itu termasuk kode sumber lengkap Twitch. Perusahaan mengatakan pada saat itu bahwa insiden itu adalah hasil dari “perubahan konfigurasi server yang memungkinkan akses yang tidak tepat oleh pihak ketiga yang tidak sah.” Twitch membantah bahwa kata sandi terungkap dalam pelanggaran tersebut, tetapi mengakui bahwa informasi tentang pendapatan masing-masing streamer telah dicuri. Selain kode sumber itu sendiri dan data pembayaran streamer sejak 2019, harta karun itu juga berisi informasi tentang sistem internal Twitch Amazon Web Services dan SDK berpemilik.

Peretasan Microsoft Exchange
Kelompok peretas yang didukung negara China yang dikenal sebagai Hafnium menangis mengeksploitasi sekelompok kerentanan dalam perangkat lunak Microsoft Exchange Server. Peretasan itu mengenai berbagai korban, termasuk usaha kecil dan pemerintah daerah. Dan kampanye tersebut juga mempengaruhi sejumlah besar organisasi di luar AS, seperti Parlemen Norwegia dan Otoritas Perbankan Eropa. Microsoft mengeluarkan tambalan darurat pada 2 Maret untuk mengatasi kerentanan, tetapi peretasan sudah berjalan dan banyak organisasi membutuhkan waktu berhari-hari atau berminggu-minggu untuk menginstal perbaikan, jika mereka melakukannya sama sekali.

Meretas Dengan Alat Grup NSO
Platform komunikasi WhatsApp dan Apple menggugat NSO pada 2019 setelah serangkaian pengungkapan bahwa NSO menciptakan alat untuk menginfeksi target iOS dengan spyware Pegasus andalannya dengan mengeksploitasi kelemahan pada platform komunikasi iMessage Apple. Para peneliti mempelajari daftar bocoran 50.000 nomor telepon yang terkait dengan aktivis, jurnalis, eksekutif, dan politisi yang semuanya merupakan target pengawasan potensial. NSO Group telah membantah klaim tersebut. Pada bulan Desember, peneliti Google menyimpulkan bahwa kecanggihan malware NSO setara dengan peretas elit negara bangsa.

JBS USA
JBS SA mengalami serangan ransomware besar-besaran pada akhir Mei. Anak perusahaannya JBS USA mengatakan “itu adalah target serangan keamanan siber terorganisir, yang memengaruhi beberapa server yang mendukung sistem TI Amerika Utara dan Australia.”. Fasilitas JBS di Australia, AS, dan Kanada menghadapi gangguan, dan serangan tersebut menyebabkan serangkaian dampak di seluruh industri daging yang menyebabkan penutupan pabrik, karyawan yang dipulangkan, dan ternak yang harus dikembalikan ke petani. Insiden itu terjadi hanya beberapa minggu setelah serangan Colonial Pipeline, yang menggarisbawahi kerapuhan infrastruktur kritis dan rantai pasokan global yang vital.

Accelion
Vendor firewall Accellion merilis patch pada akhir Desember untuk mengatasi sekelompok kerentanan di salah satu penawaran peralatan jaringannya. Namun, tambalan tidak datang atau diinstal dengan cukup cepat untuk lusinan organisasi di seluruh dunia. Banyak yang mengalami pelanggaran data dan menghadapi upaya pemerasan sebagai akibat dari kerentanan. Para korban termasuk Reserve Bank of New Zealand, negara bagian Washington, Australian Securities and Investments Commission, firma keamanan siber Qualys, telekomunikasi Singapura Singtel, firma hukum terkenal Jones Day, jaringan toko grosir Kroger, dan University of Colorado. .

Honorable Mention: T-Mobile dan Neiman Marcus
Operator nirkabel T-Mobile mengakui pada bulan Agustus bahwa data dari lebih dari 48 juta orang telah dibobol dalam pelanggaran bulan itu. Para korban dicuri nama, tanggal lahir, nomor jaminan sosial, dan detail SIM mereka. Selain itu, 850.000 pelanggan dengan paket prabayar memiliki nama, nomor telepon, dan PIN yang diambil dalam pelanggaran tersebut.

Pelanggar berulang lainnya adalah jaringan department store Neiman Marcus. Perusahaan mengungkapkan insiden pada bulan Oktober, yang mengungkap nama korban, alamat, dan informasi kontak lainnya, ditambah kredensial login dan pertanyaan/jawaban keamanan dari akun Neiman Marcus online, nomor kartu kredit dan tanggal kedaluwarsa, dan nomor kartu hadiah.

Selengkapnya : WIRED

DHL Melengserkan Microsoft Sebagai Merek yang Paling Ditiru dalam Serangan Phishing

by

DHL adalah merek yang paling ditiru dalam kampanye phishing sepanjang Q4 2021, mendorong Microsoft ke tempat kedua, dan Google ke posisi keempat.

Ini tidak mengherankan mengingat bahwa kuartal terakhir setiap tahun termasuk Black Friday, Cyber Monday, dan musim belanja Natal, sehingga umpan phishing berdasarkan pengiriman paket secara alami meningkat.

DHL adalah layanan pengiriman paket dan surat ekspres internasional, mengirimkan lebih dari 1,6 miliar paket per tahun.

Dengan demikian, kampanye phishing yang meniru merek memiliki peluang bagus untuk menjangkau orang-orang yang menunggu paket DHL tiba selama musim liburan.

Umpan spesifik berkisar dari paket yang terjebak di bea cukai dan memerlukan tindakan untuk izin ke nomor pelacakan yang seharusnya bersembunyi di dalam lampiran dokumen atau tautan tertanam.

Menurut sebuah laporan oleh perusahaan intelijen ancaman Check Point, sepuluh merek teratas yang ditiru oleh aktor phishing pada Q4 2021 adalah sebagai berikut:

    1. DHL (related to 23% of all phishing attacks globally)
    2. Microsoft (20%)
    3. WhatsApp (11%)
    4. Google (10%)
    5. LinkedIn (8%)
    6. Amazon (4%)
    7. FedEx (3%)
    8. Roblox (3%)
    9. Paypal (2%)
    10. Apple (2%)

Dalam contoh yang disajikan pada laporan Check Point, kampanye phishing menggunakan alamat email dukungan pelanggan DHL palsu untuk mengirim pesan “pemberitahuan pengiriman”, seperti yang ditunjukkan di bawah ini.

Dalam hal ini, email meminta pengguna untuk memverifikasi identitas mereka, yang terjadi pada halaman phishing yang dibuat agar terlihat persis seperti situs DHL yang sebenarnya.

Dalam umpan FedEx yang diambil sampelnya oleh CheckPoint, para aktor mengklaim tidak dapat mengirimkan paket ke penerima, meminta korban untuk memasukkan rincian mereka di situs phishing.

Akhirnya, ada spesimen phishing PayPal yang tidak menyenangkan yang meminta target untuk “mengkonfirmasi informasi akun mereka” untuk mencabut status penangguhan sementara.

Tetap tenang dan tetap waspada

Cara terbaik untuk menangani email masuk yang membuat klaim berani dan meminta tindakan-segera adalah berhati-hati.

Sebagai gantinya, Anda harus membuka tab browser baru, mengunjungi situs web resmi pengirim yang diduga, mengkonfirmasi validitas URL tempat Anda berada, dan baru kemudian masuk ke akun Anda. Jika ada tindakan yang diperlukan dari Anda, Anda akan melihat peringatan yang relevan di sana.

Jangan pernah mengklik tombol tertanam pada email dan hindari mengunduh dan membuka dokumen yang tiba melalui komunikasi yang tidak diminta.

Phishing bergantung pada menciptakan rasa urgensi, jadi setiap kali Anda berurusan dengan email yang menyebabkan Anda tertekan, pertimbangkan kemungkinan itu sebagai upaya untuk menipu Anda agar memberikan informasi sensitif.

Sumber: Bleepingcomputer

Nintendo Memperingatkan Situs Palsu yang Mendorong Diskon Switch Palsu

by

Nintendo telah memperingatkan pelanggan dari beberapa situs yang meniru situs web resmi perusahaan video game Jepang dan berpura-pura menjual konsol Nintendo Switch dengan diskon yang signifikan.

Peringatan langka ini dikeluarkan minggu lalu melalui situs perusahaan multinasional game, yang juga mengisyaratkan tingkat keparahan masalah ini.

“Situs palsu menggunakan logo perusahaan kami secara ilegal, membuatnya terlihat seolah-olah dioperasikan oleh kami, dan menampilkan produk kami, seperti Nintendo Switch, untuk dibeli jika dengan harga diskon yang signifikan,” kata Nintendo.

“Tautan ke situs web resmi Nintendo adalah sebagai berikut: https://www.nintendo.co.jp/.”

“Membeli produk di situs palsu dapat mengakibatkan kerusakan penipuan seperti akuisisi informasi pribadi yang tidak sah. Harap berhati-hatilah untuk tidak salah mengiranya sebagai situs web kami, dan jangan membeli produk dari situs web palsu,” tambah Nintendo.

Raksasa video game itu juga memperingatkan bahwa mereka akan segera memperingatkan polisi dan lembaga penegak hukum terkait ketika menemukan situs palsu yang menargetkan pelanggannya.

Peringatan ini muncul setelah pelanggaran data yang diungkapkan dua tahun lalu ketika aktor ancaman yang tidak diketahui masuk ke akun lebih dari 300.000 pengguna Nintendo tanpa otorisasi.

Para penyerang menggunakan ID Nintendo Network dan mendapatkan akses ke nama pengguna, negara, alamat email, dan tanggal lahir.

Setelah menemukan insiden tersebut, Nintendo memperingatkan pengguna untuk mengaktifkan autentikasi dua faktor (2FA) di akun mereka dan mengatur ulang kata sandi untuk NNID dan akun Nintendo yang terkena dampak.

Sumber: Bleepingcomputer

Rusia Tuntut 8 Tersangka Anggota Geng Ransomware REvil

by

Delapan anggota operasi ransomware REvil yang telah ditahan oleh petugas Rusia saat ini menghadapi tuntutan pidana atas aktivitas ilegal mereka.

Pada hari Jumat, Dinas Keamanan Federal (FSB) Federasi Rusia – dinas intelijen domestik negara itu, mengumumkan penggerebekan di rumah 14 orang yang diduga menjadi bagian dari geng ransomware REvil.

Operasi itu dilakukan bekerja sama dengan Kementerian Dalam Negeri Rusia setelah pihak berwenang AS melaporkan pemimpin kelompok itu dan menuntut tindakan terhadap penjahat dunia maya yang tinggal di Rusia.

Nama-nama para tersangka tidak diketahui sampai hari ini ketika Pengadilan Tverskoi Moskow mengidentifikasi delapan orang dari dokumen penangkapan mereka:

  • Muromsky Romawi
  • Bessonov Andrey
  • Golovachuk Mikhail A.
  • Zayets Artem N.
  • Khansvyarov Ruslan A.
  • Korotayev Dmitry V.
  • Puzyrevsky D.D.
  • Malozemov Alexei V.

Para tersangka telah dipenjara selama dua bulan sebagai tindakan pencegahan dan semuanya diselidiki karena peredaran ilegal alat pembayaran (kartu kredit palsu dan dokumen pembayaran lainnya, cryptocurrency).

Yelisey Boguslavskiy, kepala penelitian di advIntel threat prevention, mengatakan bahwa individu yang ditangkap kemungkinan adalah afiliasi tingkat rendah dan bukan inti dari operasi REvil, yang mengembangkan malware dan mempertahankan operasi ransomware-as-a-service (RaaS).

Semua orang yang ditangkap dituduh melakukan kejahatan berdasarkan Bagian 2 dari Pasal 187 KUHP Federasi Rusia, kata Kantor Berita Rusia TASS, yang membawa hukuman antara lima dan delapan tahun penjara.

Menurut Martin Matishak dari The Record, seorang pejabat senior pemerintahan Biden mengatakan bahwa salah satu dari 14 tersangka yang digerebek juga bertanggung jawab atas serangan ransomware yang mengganggu operasi Colonial Pipeline. Malware ini digunakan oleh geng ransomware DarkSide, kemudian berganti nama menjadi BlackMatter.

Selengkapnya: Bleepingcomputer

Peretas OceanLotus Beralih ke File Arsip Web untuk Menyebarkan Backdoors

by

Kelompok OceanLotus dari hacker yang disponsori negara sekarang menggunakan format file arsip web (. MHT dan . MHTML) untuk menyebarkan backdoors ke sistem yang dikompromikan.

Tujuannya adalah untuk menghindari deteksi oleh alat solusi antivirus yang lebih mungkin untuk menangkap format dokumen yang umum disalahgunakan dan menghentikan korban dari membukanya di Microsoft Office.

Juga dilacak sebagai APT32 dan SeaLotus, para peretas telah menunjukkan kecenderungan di masa lalu untuk mencoba metode yang kurang umum untuk menyebarkan malware.

Sebuah laporan dari Netskope Threat Labs yang dibagikan dengan Bleeping Computer sebelumnya mencatat bahwa kampanye OceanLotus menggunakan file arsip web masih aktif, meskipun ruang lingkup penargetan sempit dan meskipun server command and control (C2) terganggu.

Dari RAR ke word macros

Rantai serangan dimulai dengan kompresi RAR dari file arsip web besar 35-65MB yang berisi dokumen Word berbahaya.

Untuk melewati perlindungan Microsoft Office, para aktor telah mengatur properti ZoneID dalam metadata file ke “2”, membuatnya tampak seolah-olah diunduh dari sumber yang dapat dipercaya.

Saat membuka file arsip web dengan Microsoft Word, dokumen yang terinfeksi meminta korban untuk “Mengaktifkan Konten”, yang membuka jalan untuk mengeksekusi kode makro VBA berbahaya.

Skrip melakukan tugas-tugas berikut pada mesin yang terinfeksi:

  • Menjatuhkan payload ke “C:ProgramDataMicrosoftUser Account Picturesguest.bmp”;
  • Menyalin payload ke “C:ProgramDataMicrosoft Outlook Syncguest.bmp”;
  • Membuat dan menampilkan dokumen umpan bernama “Dokumen.doc”;
  • Mengganti nama muatan dari “tamu.bmp” menjadi “latar belakang.dll”;
  • Menjalankan DLL dengan memanggil fungsi ekspor “SaveProfile” atau “OpenProfile”

Setelah payload dieksekusi, kode VBA menghapus file Word asli dan membuka dokumen umpan yang melayani korban kesalahan palsu.

Backdoor menggunakan layanan hosting Glitch

Payload yang dijatuhkan dalam sistem adalah DLL 64-bit yang mengeksekusi setiap 10 menit berkat tugas terjadwal yang meniru cek pembaruan WinRAR.

Backdoor disuntikkan ke dalam proses rundll32.exe berjalan tanpa batas waktu dalam memori sistem untuk menghindari deteksi, netskope mencatat dalam laporan teknisnya.

Malware mengumpulkan informasi adaptor jaringan, nama komputer, nama pengguna, menyebutkan direktori dan file sistem, memeriksa daftar proses yang berjalan.

Setelah data dasar dikumpulkan, backdoor mengkompilasi semuanya menjadi satu paket dan mengenkripsi konten sebelum dikirim ke server C2.

Server ini di-host di Glitch, hosting cloud dan layanan kolaborasi pengembangan web yang sering disalahgunakan untuk tujuan jahat.

Dengan menggunakan layanan cloud hosting yang sah untuk komunikasi C2, para aktor semakin mengurangi kemungkinan terdeteksi bahkan ketika alat pemantauan lalu lintas jaringan dikerahkan.

Meskipun Glitch menurunkan URL C2 yang diidentifikasi dan dilaporkan oleh para peneliti Netskope, tidak mungkin ini akan menghentikan APT32 dari membuat yang baru menggunakan akun yang berbeda.

Untuk daftar lengkap indikator kompromi dari kampanye ini, Anda dapat memeriksa repositori GitHub ini.

Sumber: Bleepingcomputer

EA: 50 Akun Ternama FIFA 22 Diambil Alih oleh Aktor Phishing

by

Electronic Arts (EA) telah menerbitkan tanggapan resmi terhadap banyak laporan tentang akun pemain yang diretas, mengkonfirmasikan masalah dan menghubungkannya dengan aktor phishing.

Seperti yang dijelaskan pemberitahuan itu, peretas menggunakan rekayasa sosial terhadap tim pengalaman pelanggan EA untuk melewati otentikasi dua faktor dan mengambil lebih dari 50 akun pemain.

FIFA 22 adalah permainan simulasi sepak bola (sepak bola) yang sangat populer yang menampilkan mode multi-pemain di mana orang dapat bersaing secara real-time, memperdagangkan item dalam game, dll.

Perusahaan game telah berjanji untuk mengembalikan akses pemilik yang sah ke akun yang dikompromikan dan juga telah mengumumkan langkah-langkah berikut untuk mencegah hal ini terjadi lagi di masa depan:

  • Semua Penasihat EA dan individu yang membantu layanan Akun EA menerima pelatihan ulang individual dan pelatihan tim tambahan, dengan penekanan khusus pada praktik keamanan akun dan teknik phishing yang digunakan dalam contoh khusus ini.
  • Implementasi langkah-langkah tambahan untuk proses verifikasi kepemilikan akun, seperti persetujuan manajerial wajib untuk semua permintaan perubahan email.
  • Perangkat lunak pengalaman pelanggan akan diperbarui untuk mengidentifikasi aktivitas yang mencurigakan dengan lebih baik, menandai akun berisiko, dan selanjutnya membatasi potensi kesalahan manusia dalam proses pembaruan akun.

Perubahan di atas pasti akan membuat layanan pelanggan lebih rumit dan lambat, tetapi mereka akan meningkatkan keamanan akun, sesuatu yang telah dikeluhkan oleh komunitas FIFA selama bertahun-tahun.

“Kami ingin meminta maaf atas ketidaknyamanan dan frustrasi yang disebabkan ini, dan bahwa kami tidak dapat berbagi rincian tambahan dalam komunikasi asli kami minggu lalu saat kami melakukan penyelidikan menyeluruh.”

Akun profil ternama diretas

Akun yang ditargetkan oleh aktor phishing termasuk pemain sepak bola nyata seperti Valentin Rosier, streamer profesional, dan pedagang mata uang dalam game.

Akun-akun profil tinggi ini telah menginvestasikan sejumlah besar uang dalam permainan dan menggunakannya sebagai sumber pendapatan dengan memonetisasi kehadiran mereka di ruang virtual itu.

Beberapa pemegang akun yang diretas menunjukkan kemungkinan staf EA memberikan data pribadi mereka kepada peretas, yang akan melanggar GDPR, menimbulkan denda hingga 4% dari omset tahunan EA.

Namun, pada saat ini, tidak ada penyelidikan perlindungan data yang diumumkan, dan penyelidikan EA atas insiden tersebut masih berlangsung, sehingga ruang lingkup dampak belum ditentukan dengan pasti.

Perlu juga dicatat bahwa Bleeping Computer telah melihat laporan akun FIFA 22 tingkat rendah yang telah diretas baru-baru ini, sehingga jumlah akun yang diambil alih oleh aktor phishing mungkin jauh lebih besar dari 50.

Sumber: Bleepingcomputer