Výzkumná jednotka NordVPN Threat Intelligence oznámila, že odhalila sofistikovanou phishingovou kampaň zaměřenou na uchazeče o zaměstnání, která se vydává za některé z nejuznávanějších světových společností. Operace zneužívá jména globálních gigantů, jako je Meta (a její dceřiné společnosti, jako jsou Facebook a WhatsApp), Disney, Coca-Cola a Spotify, k odcizení přihlašovacích údajů obětí na Facebooku a k únosu jejich účtů.
Vyšetřování odhalilo vícestupňovou operaci. Útočníci v ní používají skryté domény („HUBy“), mechanismy aktivace referenčních odkazů a realistická rozhraní pracovních inzerátů, aby oběti provedli pečlivě vytvořenou cestou. Poslední krok je přesměruje na falešnou přihlašovací stránku na Facebooku, která má za úkol získat jejich přihlašovací údaje.
„Uchazeči o zaměstnání jsou obzvláště zranitelní, protože jsou již zvyklí sdílet osobní údaje a plnit pokyny od neznámých kontaktů,“ říká Domininkas Virbickas, produktový ředitel společnosti NordVPN. „Tyto kampaně zneužívají této důvěry pomocí sofistikované komunikace a přesvědčivých falešných kariérních portálů, které jsou prakticky k nerozeznání od těch skutečných.“
Kampaň začíná studeným e-mailem, obvykle odeslaným prostřednictvím legitimních služeb, jako je Google AppSheet, aby se obešly spamové filtry. Tyto zprávy vypadají uhlazeně a profesionálně, s bezchybnou gramatikou a tónem, který napodobuje skutečné náborové přístupy. Seznamy kontaktů jsou pravděpodobně sestavovány automatizovaným sběrem dat z platforem, jako je LinkedIn, nebo získávány z předchozích úniků dat.
Odkaz v e-mailu přesměruje oběti na doménu „HUB“ (například careers.meta-findyourjob[.]com). Tyto stránky jsou navrženy s vestavěným mechanismem obcházení. Pokud někdo, ať už bezpečnostní analytik nebo automatizovaný skener, navštíví doménu přímo, uvidí pouze obecnou, inertní stránku bez interaktivní funkcionality.
Škodlivý obsah se tedy aktivuje pouze tehdy, když je na web přístupno prostřednictvím specifického referenčního odkazu vloženého do phishingového e-mailu. Tento referenční odkaz funguje jako klíč, který odemyká klikatelné tlačítko „Hledat práci“, které by jinak zůstalo skryté.
Jakmile oběť klikne na odkaz, je přesměrována na zprostředkující doménu, která simuluje legitimní pracovní portál. Rozhraní umožňuje uživatelům procházet zdánlivě důvěryhodné nabídky práce od falešné značky, což posiluje iluzi, že se účastní skutečného výběrového řízení.
Příklady zahrnují plus.jobfusion-mt[.]com a official.professionlaunch-mt[.]com pro Meta, careers.coca-contactnow[.]info pro Coca-Colu, connect.spotifycareerapply[.]com pro Spotify a jobquest.wdcfuturesteps[.]com pro Disney.
Past se zavře, když oběť klikne na tlačítko „Přihlásit se“ nebo „Odeslat žádost“. Místo formuláře žádosti o zaměstnání je přesměrována na phishingovou stránku, která vyžaduje přihlášení přes Facebook, aby mohla „pokračovat v žádosti“. Tato stránka je navržena tak, aby zachytila přihlašovací údaje oběti na Facebooku, což útočníkům dává úplnou kontrolu nad účtem a potenciálně všemi službami, které jsou s ním propojeny.
Kampaň zdůrazňuje rostoucí trend útočníků, kteří používají důvěryhodné značky a profesionální kontexty jako zbraně k obcházení přirozeného skepticismu obětí. Protože phishingový proces tak přesně napodobuje skutečný náborový proces, mohou být zaskočeni i opatrní uživatelé.
NordVPN doporučuje tři kroky, které by uživatelé měli podniknout, když obdrží jakýkoli typ e-mailu s nabídkami práce:
- Před zadáním jakýchkoli přihlašovacích údajů ověřte URL adresu. Legitimní společnosti hostují stránky s nabídkami práce na svých oficiálních doménách, nikoli na webových stránkách třetích stran s neobvyklými názvy. Totéž platí pro požadavky na přihlášení na sociálních sítích. Tlačítka „Přihlásit se přes Facebook“ na legitimních platformách vás vždy přesměrují na oficiální doménu facebook.com. Pokud je přihlašovací stránka hostována na neznámé URL adrese, pravděpodobně se jedná o pokus o phishing.
- Povolte vícefaktorové ověřování (MFA) na všech účtech sociálních médií. I v případě ohrožení přihlašovacích údajů může 2FA zabránit útočníkům v přístupu.
- Nikdy nevěřte nevyžádaným pracovním nabídkám, které přicházejí e-mailem nebo prostřednictvím aplikací pro zasílání zpráv, zejména těm, které na vás tlačí k rychlé reakci.
Metodologie:
Vyšetřovací proces využíval metodologie zpravodajských informací z otevřených zdrojů (OSINT) a z toho vyplývala potřeba potvrdit a validovat získaná data křížovým odkazováním.
Zejména jádro naší strategie sběru dat zahrnovalo použití specifických „dorků“ (pokročilé vyhledávací řetězce) aplikovaných na hlavní generické vyhledávače, stejně jako použití specializovaných vyhledávačů k indexování domén, webových stránek a zařízení vystavených na internetu. Mezi těmito specializovanými nástroji jsme rozsáhle využívali vyhledávače pro internet věcí (IoT) a servisní platformy podobné Shodanu, jako jsou Fofa.io a Shodan. Tyto nástroje nám umožnily identifikovat nejen domény, ale také vystavené služby a porty, a odhalit tak potenciální zranitelnosti nebo neúmyslná vystavení.
Hlavní cíl této vícevrstvé výzkumné metodologie byl dvojí:
- Získat co nejúplnější a nejúplnější pohled na prostředí zúčastněných digitálních subjektů.
- Přesně identifikovat domény, které byly skutečně napadeny, a jít nad rámec pouhé identifikace teoreticky zranitelných domén.
Tato podrobná analýza zajistila, že závěry byly založeny na ověřených datech a že perimetr kompromitovaných systémů byl vymezen s co největší přesností.
