Die Threat-Intelligence-Abteilung von NordVPN hat eine ausgeklügelte Phishing-Kampagne aufgedeckt, die es auf Bewerber abgesehen hat und sich als Mitarbeiter einiger der weltweit bekanntesten Unternehmen ausgibt. Die Kampagne nutzt die Namen globaler Konzerne wie Meta (und dessen Tochtergesellschaften wie Facebook und WhatsApp), Disney, Coca-Cola und Spotify, um die Facebook-Zugangsdaten der Opfer zu stehlen und deren Konten zu übernehmen.
Die Untersuchung deckte eine mehrstufige Vorgehensweise auf. Dabei nutzen die Angreifer versteckte Domains („HUBs“), Mechanismen zur Aktivierung von Empfehlungslinks und realistische Stellenanzeigen, um ihre Opfer gezielt durch einen sorgfältig konstruierten Prozess zu führen. Im letzten Schritt werden sie auf eine gefälschte Facebook-Anmeldeseite umgeleitet, die darauf abzielt, ihre Zugangsdaten abzufangen.
„Arbeitssuchende sind besonders gefährdet, da sie es bereits gewohnt sind, persönliche Informationen preiszugeben und Anweisungen von unbekannten Kontakten zu befolgen“, sagt Domininkas Virbickas, Produktleiter bei NordVPN. „Diese Kampagnen nutzen dieses Vertrauen aus, indem sie ausgeklügelte Kommunikationsstrategien und überzeugende gefälschte Karriereportale einsetzen, die von den echten kaum zu unterscheiden sind.“
Die Kampagne beginnt mit einer Kaltakquise-E-Mail, die üblicherweise über seriöse Dienste wie Google Tabellen versendet wird, um Spamfilter zu umgehen. Diese Nachrichten wirken professionell und fehlerfrei, mit einwandfreier Grammatik und einem Tonfall, der echten Recruiting-Anfragen ähnelt. Die Kontaktlisten stammen wahrscheinlich aus automatisierter Datenerfassung von Plattformen wie LinkedIn oder aus früheren Datenlecks.
Der Link in der E-Mail führt die Opfer auf eine sogenannte „HUB“-Domain (z. B. careers.meta-findyourjob[.]com). Diese Seiten verfügen über einen integrierten Schutzmechanismus. Besucht jemand – sei es ein Sicherheitsanalyst oder ein automatisierter Scanner – die Domain direkt, wird lediglich eine generische, funktionslose Seite ohne Interaktionsmöglichkeiten angezeigt.
Der Schadcode wird daher erst aktiviert, wenn die Website über einen bestimmten Link in der Phishing-E-Mail aufgerufen wird. Dieser Link fungiert als Schlüssel und schaltet einen ansonsten verborgenen Button mit der Aufschrift „Jobsuche“ frei.
Sobald das Opfer auf den Link klickt, wird es auf eine Zwischenseite weitergeleitet, die ein seriöses Jobportal vortäuscht. Die Benutzeroberfläche ermöglicht es den Nutzern, scheinbar vertrauenswürdige Stellenanzeigen der gefälschten Marke zu durchsuchen, wodurch die Illusion verstärkt wird, dass sie an einem echten Auswahlverfahren teilnehmen.
Beispiele hierfür sind plus.jobfusion-mt[.]com und official.professionlaunch-mt[.]com für Meta, careers.coca-contactnow[.]info für Coca-Cola, connect.spotifycareerapply[.]com für Spotify und jobquest.wdcfuturesteps[.]com für Disney.
Die Falle schnappt zu, sobald das Opfer auf „Bewerben“ oder „Bewerbung absenden“ klickt. Statt eines Bewerbungsformulars wird es auf eine Phishing-Seite weitergeleitet, die es auffordert, sich über Facebook anzumelden, um die Bewerbung fortzusetzen. Diese Seite dient dazu, die Facebook-Zugangsdaten des Opfers abzufangen und Angreifern so die vollständige Kontrolle über das Konto und potenziell alle damit verbundenen Dienste zu ermöglichen.
Die Kampagne verdeutlicht einen wachsenden Trend: Angreifer nutzen vertrauenswürdige Marken und professionelle Kontexte, um die natürliche Skepsis ihrer Opfer auszunutzen. Da der Phishing-Ablauf einen realen Rekrutierungsprozess so präzise imitiert, können selbst vorsichtige Nutzer überrascht werden.
NordVPN empfiehlt Nutzern drei Maßnahmen, die sie ergreifen sollten, wenn sie E-Mails mit Stellenangeboten erhalten:
- Überprüfen Sie die URL, bevor Sie Ihre Zugangsdaten eingeben. Seriöse Unternehmen betreiben Karriereseiten auf ihren offiziellen Domains, nicht auf Webseiten Dritter mit ungewöhnlichen Namen. Dasselbe gilt für Anmeldeanfragen in sozialen Medien. Die Schaltflächen „Mit Facebook anmelden“ auf seriösen Plattformen leiten Sie immer zur offiziellen Facebook-Domain weiter. Wenn die Anmeldeseite auf einer unbekannten URL gehostet wird, handelt es sich wahrscheinlich um einen Phishing-Versuch.
- Aktivieren Sie die Multi-Faktor-Authentifizierung (MFA) für alle Ihre Social-Media-Konten. Selbst wenn Zugangsdaten kompromittiert wurden, kann die Zwei-Faktor-Authentifizierung Angreifer am Zugriff hindern.
- Vertrauen Sie niemals unaufgeforderten Stellenangeboten, die per E-Mail oder Messenger-App eintreffen, insbesondere solchen, die Sie unter Druck setzen, schnell zu handeln.
Methodik:
Der Ermittlungsprozess nutzte Methoden der Open-Source-Intelligence (OSINT) und die damit einhergehende Notwendigkeit, die gewonnenen Daten durch Querverweise zu bestätigen und zu validieren.
Kern unserer Datenerfassungsstrategie war insbesondere die Verwendung spezifischer „Dorks“ (erweiterte Suchbegriffe) für gängige Suchmaschinen sowie spezialisierter Suchmaschinen zur Indexierung von Domains, Websites und Geräten im Internet. Unter diesen spezialisierten Tools nutzten wir intensiv Suchmaschinen für das Internet der Dinge (IoT) und ähnliche Serviceplattformen wie Shodan, beispielsweise Fofa.io und Shodan.io. Mithilfe dieser Tools konnten wir nicht nur die Domains, sondern auch die exponierten Dienste und Ports identifizieren und so potenzielle Schwachstellen oder unbeabsichtigte Offenlegungen aufdecken.
Das Hauptziel dieser mehrstufigen Forschungsmethodik war zweifach:
- Um einen möglichst umfassenden und vollständigen Überblick über die Landschaft der beteiligten digitalen Einheiten zu erhalten.
- Um die tatsächlich kompromittierten Bereiche präzise zu identifizieren, geht es über die bloße Identifizierung theoretisch anfälliger Bereiche hinaus.
Diese detaillierte Analyse gewährleistete, dass die Schlussfolgerungen auf verifizierten Daten basierten und der Umfang der kompromittierten Systeme mit größtmöglicher Präzision abgegrenzt wurde.
