小売業者は、1件の注文で二重に損失を被る可能性がある。まず交換品を発送し、その後で不正な返金を承認するためだ。
11月2日の分析で、Flashpointは、ホリデーショッピングシーズンを前に、返金の悪用、ギフトカード詐欺、小売業者へのなりすまし、侵害されたオンラインストアへのアクセスに関わるアンダーグラウンドの活動について説明した。
小売業界のセキュリティ責任者にとって実務上の問題は、別の返金が承認されたり、顧客情報がさらに露出したりする前に、サポート、決済、サイバーセキュリティの各チームが不審な活動を結び付けられるかどうかだ。
アンダーグラウンドのコミュニティでFlashpointが確認したこと
Flashpointの 小売業界の不正分析では、いくつかの重なり合うリスクが指摘されている。
- 返金の悪用：配送されていない、荷物が空だった、商品が違っていたなどの虚偽の申告。交換品と返金の両方を狙う手口もある。
- サポートの操作：確認手続きを回避しようとする試みや、買い物客を外部のチャネルへ誘導する偽のカスタマーサービスアカウント。
- ギフトカード詐欺：盗んだ決済情報を使ってギフトカードを購入し、商品を購入したり、その価値を換金したりする参加者を募る。
- ストアアクセスの販売：Shopify、Magento、OpenCartを利用するサイトなど、Eコマースサイトへのアクセスをうたう広告。
こうした掲載情報は、これらのプラットフォームに脆弱性があることを示すものではない。Flashpointによると、初期アクセスの手法は一貫して開示されていなかった。同社の分析は、観測された議論や広告について説明するものであり、業界全体で成功する不正が増加したことを定量化したものではない。
例外措置を確認できる方法をサポート担当者に与える
小売業者は、顧客が配送に異議を申し立てた場合、交換品を求めた場合、またはアカウントの変更を要求した場合に、従業員が下せる判断を見直すべきだ。それぞれの対応には、明確な確認プロセスと、証拠が食い違った場合の明確なエスカレーション経路が必要になる。
トレーニングでは ソーシャルエンジニアリング攻撃を、こうした日常的な状況に即して扱うべきだ。返金やアカウント復旧に必要な確認を維持しながら、緊急性の高い、あるいは感情的な要求に対応する練習をスタッフにさせる必要がある。
従業員の判断が操作された場合の影響は、小売業界にとどまらない。別の Baker McKenzieとTroutman Pepper Lockeで発生したソーシャルエンジニアリングインシデントでは、個人情報を含むファイルが開示された。
小売業者にとって有用なテストは、同じ注文について別のチームがすでに交換品または返金を処理したことを担当者が確認できるかどうかだ。システム上でその履歴をまとめて表示できない場合は、別の例外措置を承認する前に、文書化された確認手続きを設けるべきだ。
顧客にも、公式のサポートチャネルを簡単に見分けられる方法が必要だ。そうした窓口を明確に公開し、なりすましが疑われるアカウントを報告できる手続きを用意する。
取引だけでなくストアフロントも確認する
一見普通のチェックアウト画面でも、決済情報の窃取が隠れている可能性がある。 2022年5月に公表された研究で、Microsoftは、攻撃者が悪意のあるコードを隠し、JavaScriptを見慣れたアナリティクス用スクリプトに偽装していたことを明らかにした。
そのため、個々の購入が不正検知を通過するかどうかとは別に、ストアフロントの完全性も確認しなければならない。
小売業者のITチームは、管理者アカウントを見直し、不要になったアクセス権を削除し、対応している場合は多要素認証を適用するとともに、チェックアウトページやインストール済みの連携機能に予期しない変更がないか調査すべきだ。より広範な データ侵害防止対策では、そうしたアカウントからアクセスできる顧客記録と注文履歴も対象にする必要がある。
ギフトカードについては、購入活動と利用活動を併せて確認する。不審と判定された決済の直後に速やかな利用が続いていれば調査に値するが、高額な購入だけで自動的に不正の証拠と見なすべきではない。
チームが証拠を結び付けられるかテストする
繁忙期を迎える前に、カスタマーサービス、不正対策業務、Eコマース管理者、セキュリティの各担当者が参加する短時間の演習を実施する。配送への異議申し立て、交換品の要求、不審なアカウント変更が発生した架空の注文を使う。
各チームに次の点を尋ねる。
- どの注文、決済、アカウントのイベントを確認できるか。
- 調査のためにどの記録を保存するか。
- 返金、交換品の発送、アカウント変更を一時停止する権限を誰が持つか。
この演習によって、サポート担当者が決済アラートを見落としている、あるいはセキュリティアナリストがアカウント変更を評価するために必要な注文の文脈を把握できていない、といったギャップを明らかにできるはずだ。
成果は実務的な指標で測定する。関連するイベントの特定にかかる時間、権限を持つ意思決定者に到達するまでの時間、正当な顧客が実際の問題をなお解決できるかどうかだ。誤検知も確定した損失と併せて見直し、管理を厳格化した結果、コストが買い物客やサポートチームに移るだけにならないようにする。
最も有効な改善策は、共有のケース記録と、エスカレーションの明確な責任者かもしれない。小売業者は、返金、ギフトカードの利用、アカウント変更をなぜ承認したのかを説明でき、新たな証拠が出てきたときにその判断を再構成できるようにすべきだ。
続きを読む：小売業者へのなりすましは、攻撃者が信頼を悪用する手口の1つだ。 偽の裁判所通知が同様の手口でLodaRATを配布する方法と、セキュリティチームが確認すべき点を解説する。