Cyberthreat.id – Perusahaan taruhan olahraga DraftKings mengatakan bahwa para pelanggannya terpengaruh oleh serangan credential stuffing yang menyebabkan kerugian hingga $300.000.

Dikutip dari Bleeping Computer, saat ini DraftKings sedang menyelidiki sejumlah laporan dari pelanggan yang mengalami masalah dengan akun mereka.

Dalam pernyataan resminya, DraftKings mengatakan bahwa semua akun yang dibajak adalah akun setoran awal $5. Tak hanya membajak, para peretas juga mengubah kata sandi, mengaktifkan autentikasi dua faktor (2FA) pada nomor telepon yang berbeda, dan kemudian mencuri sejumlah informasi yang berkaitan dengan akun bank korban.

Beberapa korban juga mengungkapkan rasa frustrasi mereka di media sosial karena mereka tidak dapat menghubungi siapa pun di DraftKings sementara harus menyaksikan penyerang berulang kali menarik uang dari rekening bank mereka.

"Kami saat ini percaya bahwa informasi login dari pelanggan ini dikompromikan di situs web lain dan kemudian digunakan untuk mengakses akun DraftKings mereka di mana mereka menggunakan informasi login yang sama," ungkap Presiden DraftKings, Paul Liberman.

Liberman mengatakan, pihaknya tidak melihat bukti bahwa sistem DraftKings dilanggar untuk mendapatkan informasi ini. pihaknya juga telah mengidentifikasi kurang dari $300.000 dana pelanggan yang terpengaruh, dan bermaksud untuk menutup semua kerugian pelanggan yang terkena dampak.

Terkait dengan insiden ini, perusahaan menyarankan pelanggan untuk tidak pernah menggunakan kata sandi yang sama untuk lebih dari satu layanan online dan tidak pernah membagikan kredensial mereka dengan platform pihak ketiga, termasuk pelacak taruhan dan aplikasi taruhan selain yang disediakan oleh DraftKings.

Pelanggan DraftKings yang belum terpengaruh oleh kampanye isian kredensial ini disarankan untuk segera mengaktifkan 2FA di akun mereka dan menghapus detail perbankan apa pun atau, lebih baik lagi, memutuskan tautan rekening bank mereka untuk memblokir permintaan penarikan penipuan.

​Dalam serangan credential stuffing, pelaku ancaman menggunakan alat otomatis untuk melakukan upaya berulang (hingga jutaan sekaligus) untuk mendapatkan akses ke akun pengguna menggunakan kredensial (umumnya dalam pasangan pengguna/kata sandi) yang dicuri dari layanan online lainnya.

Serangan ini bekerja sangat baik terhadap akun yang pemiliknya telah menggunakan kembali kredensial di berbagai platform. Tujuannya adalah mengambil alih sebanyak mungkin akun untuk mencuri info pribadi dan keuangan terkait yang nantinya dapat dijual di web gelap atau di forum peretasan.