NordVPNs forskningsenhed for trusselsintelligens annoncerer, at de har afsløret en sofistikeret phishing-kampagne rettet mod jobsøgende, der udgiver sig for at være nogle af verdens mest anerkendte virksomheder. Operationen udnytter navnene på globale giganter som Meta (og dets datterselskaber, som Facebook og WhatsApp), Disney, Coca-Cola og Spotify til at stjæle ofrenes Facebook-loginoplysninger og kapre deres konti.
Undersøgelsen afslørede en operation i flere faser. I den bruger angriberne skjulte domæner ("HUB'er"), mekanismer til aktivering af henvisningslinks og realistiske grænseflader til jobannoncer til at guide ofrene gennem en omhyggeligt konstrueret sti. Det sidste trin omdirigerer dem til en falsk Facebook-loginside, der er designet til at indsamle deres legitimationsoplysninger.
"Jobsøgende er særligt sårbare, fordi de allerede er vant til at dele personlige oplysninger og følge instruktioner fra ukendte kontakter," siger Domininkas Virbickas, produktdirektør hos NordVPN. "Disse kampagner udnytter denne tillid ved hjælp af sofistikeret kommunikation og overbevisende falske karriereportaler, der stort set ikke kan skelnes fra de rigtige."
Kampagnen starter med en kold e-mail, normalt sendt via legitime tjenester som Google AppSheet for at omgå spamfiltre. Disse beskeder fremstår polerede og professionelle med upåklagelig grammatik og en tone, der efterligner rigtige rekrutteringsmetoder. Kontaktlisterne er sandsynligvis indsamlet via automatiseret dataindsamling fra platforme som LinkedIn eller indhentet fra tidligere databrud.
Linket i e-mailen leder ofrene til et "HUB"-domæne (f.eks. careers.meta-findyourjob[.]com). Disse websteder er designet med en indbygget undvigelsesmekanisme. Hvis nogen, hvad enten det er en sikkerhedsanalytiker eller en automatiseret scanner, besøger domænet direkte, vil de kun se en generisk, inaktiv side uden interaktiv funktionalitet.
Det skadelige indhold aktiveres således kun, når webstedet tilgås via et specifikt henvisningslink, der er indlejret i phishing-e-mailen. Dette henvisningslink fungerer som en nøgle, der låser op for en klikbar "Søg efter et job"-knap, som ellers ville forblive skjult.
Så snart offeret klikker på linket, bliver de omdirigeret til et mellemliggende domæne, der simulerer en legitim jobportal. Grænsefladen giver brugerne mulighed for at gennemse tilsyneladende troværdige jobopslag fra det falske brand, hvilket forstærker illusionen om, at de deltager i en reel udvælgelsesproces.
Eksempler inkluderer plus.jobfusion-mt[.]com og official.professionlaunch-mt[.]com for Meta, careers.coca-contactnow[.]info for Coca-Cola, connect.spotifycareerapply[.]com for Spotify og jobquest.wdcfuturesteps[.]com for Disney.
Fælden lukker sig, når offeret klikker på "Ansøg" eller "Send ansøgning". I stedet for en jobansøgningsformular omdirigeres de til en phishing-side, der kræver, at de logger ind via Facebook for at "fortsætte med ansøgningen". Denne side er designet til at indsamle offerets Facebook-legitimationsoplysninger, hvilket giver angriberne fuld kontrol over kontoen og potentielt alle tjenester, der er knyttet til den.
Kampagnen fremhæver en voksende tendens til, at angribere bruger betroede brands og professionelle kontekster som våben til at omgå ofrenes naturlige skepsis. Fordi phishing-flowet efterligner en reel rekrutteringsproces så præcist, kan selv forsigtige brugere blive taget på sengen.
NordVPN foreslår tre handlinger, som brugere bør foretage sig, når de modtager e-mails med ledige stillinger:
- Bekræft URL'en, før du indtaster loginoplysninger. Legitime virksomheder hoster karrieresider på deres officielle domæner, ikke på tredjepartswebsteder med usædvanlige navne. Det samme gælder for loginanmodninger på sociale medier. Knapperne "Log ind med Facebook" på legitime platforme vil altid omdirigere dig til det officielle facebook.com-domæne. Hvis loginsiden hostes på en ukendt URL, er det sandsynligvis et phishingforsøg.
- Aktivér multifaktorgodkendelse (MFA) på alle sociale mediekonti. Selv hvis loginoplysninger er kompromitteret, kan 2FA forhindre angribere i at få adgang.
- Stol aldrig på uopfordrede jobtilbud, der kommer via e-mail eller beskedapps, især dem, der presser dig til at handle hurtigt.
Metode:
Undersøgelsesprocessen anvendte open source-efterretningsmetoder (OSINT) og det deraf følgende behov for at bekræfte og validere de data, der blev indhentet gennem krydsreferencer.
Kernen i vores dataindsamlingsstrategi omfattede især brugen af specifikke "dorks" (avancerede søgestrenge) anvendt på større generiske søgemaskiner, samt brugen af specialiserede søgemaskiner til at indeksere domæner, websteder og enheder, der eksponeres på internettet. Blandt disse specialiserede værktøjer gjorde vi omfattende brug af søgemaskiner til Tingenes Internet (IoT) og serviceplatforme svarende til Shodan, såsom Fofa.io og Shodan.io. Disse værktøjer gjorde det muligt for os at identificere ikke kun domænerne, men også de eksponerede tjenester og porte, hvilket afslører potentielle sårbarheder eller utilsigtede eksponeringer.
Hovedformålet med denne lagdelte forskningsmetode var todelt:
- For at opnå det mest udtømmende og komplette overblik over de involverede digitale enheders landskab.
- For præcist at identificere de domæner, der faktisk er blevet kompromitteret, går vi ud over blot at identificere teoretisk sårbare domæner.
Denne detaljerede analyse sikrede, at konklusionerne var baseret på verificerede data, og at omkredsen af de kompromitterede systemer blev afgrænset med størst mulig præcision.
