Threat memiliki target baru di situs mereka pada musim pajak ini selama rentetan penipuan siber tahunan saat orang mengajukan dokumen pajak penghasilan AS mereka. Kampanye email baru memalsukan aplikasi teknologi keuangan (fintech) populer dan pemberitahuan pajak mereka untuk mencoba menipu korban agar menyerahkan kredensial mereka, para peneliti telah menemukan.
Adalah umum bagi penyerang untuk menargetkan aplikasi pengarsipan dan persiapan pajak populer seperti Intuit dan TurboTax di berbagai kampanye kejahatan dunia maya selama musim pajak, waktu yang secara tradisional penuh dengan penipuan. Pada tahun 2020, misalnya, pelaku ancaman menargetkan perusahaan persiapan pajak kecil dengan menanam kode berbahaya di situs web mereka untuk menyebarkan malware ke pengguna situs.
Tahun ini, penyerang telah beralih untuk mengambil persona aplikasi fintech seperti Stash dan Publik “untuk mencuri kredensial dan memberi pengguna rasa aman palsu bahwa mereka telah menyusun dokumen pajak yang benar,” menurut laporan yang diterbitkan hari Kamis oleh Avanan, sebuah perusahaan Titik Pemeriksaan.
Stash adalah aplikasi keuangan pribadi dengan lebih dari 6 juta pengguna yang memungkinkan pengguna untuk keduanya melakukan perbankan tradisional dan untuk berinvestasi. Publik memiliki kemampuan serupa tetapi hanya berfokus pada investasi di saham tradisional dan kripto. Ini juga memiliki aspek jejaring sosial sehingga orang dapat melihat di mana pengguna lain berinvestasi.
Dalam penipuan yang diamati oleh peneliti Avanan mulai Februari, penyerang memalsukan logo dan tampilan serta nuansa komunikasi yang Stash dan Publik mungkin kirimkan ke pengguna akhir untuk memberi tahu mereka bahwa dokumen pajak mereka sudah siap, Jeremy Fuchs, peneliti dan analis keamanan siber Avanan, menulis dalam report.
Email tersebut menyertakan tautan ke dokumen – konon terkait dengan akun Stash atau Publik orang tersebut – dan mengundang pengguna untuk menggunakan tautan untuk masuk ke akun mereka untuk mengaksesnya. Namun, ketika pengguna mengklik tautan, mereka diarahkan bukan ke situs masuk yang sah, tetapi ke situs yang mengumpulkan kredensial mereka, kata Fuchs.
Meningkatnya Ancaman Fintech
Fintech adalah permukaan serangan yang berkembang bagi pelaku ancaman karena peningkatan yang nyata dalam basis penggunanya dalam beberapa tahun terakhir, terutama oleh para peneliti dikaitkan dengan peningkatan terkait pandemi dalam waktu online orang secara keseluruhan.
Menurut sebuah studi oleh startup fintech Plaid, 88 persen orang di Amerika Serikat menggunakan beberapa bentuk fintech pada akhir tahun 2021 – meningkat sebesar 52 persen dari 58 persen orang yang melaporkan menggunakan fintech pada tahun 2020.
Anehnya, jumlah tersebut melebihi jumlah orang di Amerika Serikat yang menggunakan layanan streaming atau media sosial, menjadikan fintech sebagai target ancaman yang menarik aktor, tulis Fuchs. “Itu memberi peretas berbagai macam orang untuk mencuri kredensial,” katanya. Pelaku ancaman memulai serangan awal untuk menargetkan pengguna fintech selama musim pajak dengan menargetkan layanan investasi online Robinhood April lalu dengan cara yang mirip dengan kampanye spoofing Stash dan Publik. Pada saat itu, para peneliti menemukan vektor serangan yang menggunakan email phishing dengan tautan ke situs web Robinhood palsu yang mendorong pengunjung untuk memasukkan kredensial login mereka. .
“Mereka mungkin tidak mengharapkan dokumen pajak dari aplikasi ini, mendorong mereka untuk mengklik,” tulisnya dalam laporan tersebut. “Karena sebagian besar layanan ini mengutamakan seluler, pengguna mungkin menerima ini di ponsel mereka dan mungkin lupa tentang kebersihan dunia maya yang umum.”
Sebaliknya, orang harus sangat rajin saat menerima email apa pun terkait formulir atau layanan pajak, mengingat bahwa mengklik tautan yang salah, terutama saat terhubung ke jaringan perusahaan, dapat memiliki konsekuensi yang mengerikan, kata Fuchs.
Untuk menjaga jaringan tetap aman selama musim pajak, Avanan menyarankan profesional keamanan
to mendorong pengguna akhir untuk memeriksa URL sebelum mengklik email terkait pajak, serta meminta pengguna untuk masuk langsung ke lembaga keuangan saat menerima email pemberitahuan pajak saat bekerja. Mereka juga menyarankan admin keamanan mendesak pengguna akhir untuk menghubungi departemen TI perusahaan jika mereka tidak yakin apakah email itu sah atau tidak.
Pindah ke cloud? Temukan ancaman keamanan cloud yang muncul bersama dengan saran yang kuat tentang cara mempertahankan aset Anda dengan eBook GRATIS kami yang dapat diunduh, “Cloud Security: The Forecast for 2022.” Kami mengeksplorasi risiko dan tantangan utama organisasi, praktik terbaik untuk pertahanan, dan saran untuk keamanan sukses dalam lingkungan komputasi yang dinamis, termasuk daftar periksa yang praktis.
Tulis komentar
Bagikan artikel ini:
- iKeamanan Web
