詐欺師は、詐欺のために短縮ダイヤルに仮想スマートフォンを使用します。 • –

スマートフォンは急速に私たちのデジタル ID の基盤となり、支払いシステムや銀行口座を保護しています。ある企業によると、現在、本物の携帯電話を装う仮想デバイスが金融詐欺師にとって重要なツールとなっているという。

セキュリティ ベンダー Group IB が発行した 報告 水曜日、犯罪者が公認プッシュ決済 (APP) 詐欺を行うためのツールとして、表向きは合法的なクラウド電話プラットフォームを悪用する事件が発生しました。以前のソーシャル メディア悪用者と同様に、詐欺師がクラウド電話を選択するのは、テレメトリを調べる方法を知らなければ、クラウド電話が完全に正規のデバイスに見えるためです。

従来の実際のスマートフォンのバンクは高価であり、維持が面倒です。一方、SIM ファームは、非 ARM ハードウェア上で ARM ソフトウェアを実行するために非常に多くのエミュレーション ソフトウェアを利用しているため、実際のスマートフォンに特有のデータを発しないため、簡単に検出できます。

仮想モバイル インフラストラクチャ環境で実行されるクラウド電話は、本質的にすべての世界で最高のものです。エネルギーを無駄にしたり、最新情報を入手したりするための携帯電話のバンクはありません。それらの環境で実行されるソフトウェアは、各仮想 Android 電話に一意のデバイス ID、IP アドレス、偽装された地理位置情報を提供するなど、電話の動作を厳密に模倣します。偽のセンサー データを組み込んで、各デバイスが物理世界に実際に存在しているかのように見せることもできます。

このようなサービスを提供するプラットフォームは、自社のスタックを、複数のソーシャル メディア アカウントを管理する必要がある人、プラットフォームのスパム制限を回避する再販業者、またはあらゆる人向けであると宣伝しています。 1つのプラットフォーム、「贅沢ではなく、『ステルス』が要件となる大量のアウトリーチ」を必要としている人。

言い換えれば、そうです、これらは「合法的な」企業であり、利用規約の遵守に関してはかなりグレーゾーンで事業を行っている企業にすぎません。

クラウドフォン: 素晴らしいマネーミュール

レポートによると、サイバー犯罪者はクラウド電話 APP 送金を利用することが増えています。 APP 詐欺にはさまざまな形がありますが、共通点は 1 つあります。それは、被害者を説得して詐欺師に送金させることです。そしてアナリストは、詐欺による損失はさらに増加すると予想している。

デロイトは「米国における認可されたプッシュ決済詐欺による損失は、2024年の推定83億ドルから2028年までに149億ドルに増加する可能性があると推定している」とデロイトは発表した。 報告 昨年の10月。

APP 詐欺師にとって、クラウド電話は完璧なデバイスです。クラウド プラットフォームによってエミュレートされている携帯電話は、現時点で金融機関に関する限り完全に正規のものであるように見えるため、詐欺被害者から攻撃者が管理するアカウントへの不正送金が行われても、その送金はバンキング アプリがインストールされたクラウド デバイスを介して詐欺師に転送されることはなく、詐欺アラートがトリガーされることはありません。

「銀行の不正検出システムにとっては、同じハードウェア指紋、同じ遠隔測定、同じ行動パターンなど、常に口座にアクセスしていた同じデバイスのように見えるでしょう」とGroup-IBは説明した。

彼らの調査によると、サイバー犯罪フォーラムでは、金融アプリが事前に設定されたクラウド電話や、正規のものに見えるようにいくつかのトランザクションで「事前に温められた」アカウントのログイン情報が使用されることが増えています。価格は1個あたり50ドルから200ドルです。

多くの場合、未発見のクラウドフォンの使用が「多くのAPP詐欺事件における重大なミッシングリンク」であると報告書は指摘している。

金融機関はセキュリティを再考する時期が来ているでしょうか?

Group-IBは、クラウドフォンを識別するためのいくつかの方法を特定したと述べた。残念ながら、どちらの場合も、ステルスデバイスを特定するには、金融機関のセキュリティアカウントのあり方を再考する必要があるかもしれません。

たとえば、スマートフォンにインストールされている多くのデフォルト アプリはクラウド デバイスにはありませんが、特別な管理アプリケーションがインストールされています。また、クラウドデバイスでは常に充電されたバッテリーが表示されたり、使用セッション中にセンサーの動作が欠如したりすることがよくあるため、注意を払う必要のある動作異常もあると彼らは指摘しました。

こうした種類のデバイス信号は、金融機関にとっては後回しであることが多く、金融機関は従来、ユーザーが本人であることを確認するために、デバイス ID を介した知識ベースの認証とフィンガープリンティングに依存してきました。

「より広範な教訓は、デバイスのフィンガープリンティングが失敗したということではなく、不正検出が静的なデバイスの信頼性チェックを超えて、多層のインテリジェンスに移行する必要があるということだ」と報告書は結論付け、報告書が強調したシグナルの一部を捕捉する方法として「デバイスと環境の相関関係、インフラストラクチャレベルの可視性、行動モデリング、グラフベースの分析」を追加した。 ®