NordVPNren Mehatxu Inteligentzia ikerketa unitateak iragarri du lan eskatzaileei zuzendutako phishing kanpaina sofistikatu bat aurkitu duela, munduko enpresa ezagunenetako batzuk imitatuz. Operazioak Meta (eta bere filialak, Facebook eta WhatsApp bezalakoak), Disney, Coca-Cola eta Spotify bezalako erraldoi globalen izenak erabiltzen ditu biktimen Facebook kredentzialak lapurtzeko eta haien kontuak bahitzeko.
Ikerketak hainbat etapatan banatutako eragiketa bat agerian utzi zuen. Bertan, erasotzaileek domeinu ezkutuak (“HUB”), erreferentzia-loturak aktibatzeko mekanismoak eta lan-iragarkien interfaze errealistak erabiltzen dituzte biktimak arretaz eraikitako bide batetik gidatzeko. Azken urratsak Facebook saioa hasteko orrialde faltsu batera birbideratzen ditu, haien kredentzialak jasotzeko diseinatua.
«Lan bila dabiltzanak bereziki zaurgarriak dira, informazio pertsonala partekatzera eta kontaktu ezezagunen argibideak jarraitzera ohituta daudelako», dio Domininkas Virbickasek, NordVPNko produktu zuzendariak. «Kanpaina hauek konfiantza hori ustiatzen dute komunikazio sofistikatuak eta benetakoetatik ia bereizezinak diren lanbide-atari faltsu sinesgarriak erabiliz»
Kanpaina mezu elektroniko hotz batekin hasten da, normalean Google AppSheet bezalako zerbitzu legitimoen bidez bidalia spam iragazkiak saihesteko. Mezu hauek itxura dotorea eta profesionala dute, gramatika ezin hobea eta benetako kontratazio-planteamenduak imitatzen dituen tonu batekin. Kontaktu-zerrendak ziurrenik LinkedIn bezalako plataformetatik datu-bilketa automatizatuaren bidez bildu dira edo aurreko datu-urraketaetatik lortu dira.
Mezu elektronikoan dagoen estekak biktimak "HUB" domeinu batera bideratzen ditu (adibidez, careers.meta-findyourjob[.]com). Gune hauek saihesteko mekanismo integratu batekin diseinatuta daude. Norbaitek, segurtasun-analista edo eskaner automatiko batek, domeinua zuzenean bisitatzen badu, funtzionalitate interaktiborik gabeko orrialde generiko eta geldo bat baino ez du ikusiko.
Horrela, eduki gaiztoa phishing mezu elektronikoan txertatutako erreferentzia-esteka espezifiko baten bidez gunera sartzen denean bakarrik aktibatzen da. Erreferentzia-esteka honek giltza gisa jokatzen du, bestela ezkutuan egongo litzatekeen "Lan bat bilatu" botoia desblokeatzen duena.
Biktimak estekan klik egiten duen bezain laster, lan-atari legitimo bat simulatzen duen bitarteko domeinu batera birbideratzen da. Interfazeak erabiltzaileei marka faltsu baten itxuraz fidagarriak diren lan-eskaintzak arakatzeko aukera ematen die, benetako hautaketa-prozesu batean parte hartzen ari direlako ilusioa indartuz.
Adibide gisa hauek aipa daitezke: plus.jobfusion-mt[.]com eta official.professionlaunch-mt[.]com Metarentzat, careers.coca-contactnow[.]info Coca-Colarentzat, connect.spotifycareerapply[.]com Spotifyrentzat eta jobquest.wdcfuturesteps[.]com Disneyrentzat.
Tranpa ixten da biktimak "Eskatu" edo "Bidali eskaera" botoian klik egiten duenean. Lan eskaera orri baten ordez, phishing orrialde batera birbideratzen dira, eta bertan Facebook bidez saioa hasi behar dute "eskaerarekin jarraitzeko". Orrialde hau biktimaren Facebook kredentzialak jasotzeko diseinatuta dago, erasotzaileei kontuaren eta, agian, harekin lotutako zerbitzu guztien kontrol osoa emanez.
Kanpainak erasotzaileek marka fidagarriak eta testuinguru profesionalak biktimen eszeptizismo naturala saihesteko arma gisa erabiltzen dituzten joera gero eta handiagoa azpimarratzen du. Phishing-fluxuak benetako kontratazio-prozesu bat hain zehatz-mehatz imitatzen duenez, erabiltzaile zuhurrak ere harrituta gera daitezke.
NordVPN-k hiru ekintza iradokitzen ditu erabiltzaileek lan eskaintzak dituzten mezu elektronikoak jasotzen dituztenean:
- Egiaztatu URLa kredentzialak sartu aurretik. Enpresa legitimoek lan-orriak beren domeinu ofizialetan ostatatzen dituzte, ez izen ezohikoak dituzten hirugarrenen webguneetan. Gauza bera gertatzen da sare sozialetako saioa hasteko eskaerei dagokienez. Plataforma legitimoetako "Hasi saioa Facebook-ekin" botoiek beti birbideratuko zaituzte facebook.com domeinu ofizialera. Saioa hasteko orria URL ezezagun batean ostatatzen bada, litekeena da phishing saiakera bat izatea.
- Gaitu faktore anitzeko autentifikazioa (MFA) sare sozialetako kontu guztietan. Kredentzialak arriskuan egon arren, 2FA-k erasotzaileei sarbidea eragotzi diezaieke.
- Ez fidatu inoiz posta elektronikoz edo mezularitza-aplikazioen bidez iristen diren eskatu gabeko lan-eskaintzetan, batez ere azkar jokatzera presioa egiten dizutenetan.
Metodologia:
Ikerketa-prozesuak iturri irekiko inteligentzia (OSINT) metodologiak erabili zituen eta, ondorioz, erreferentzia gurutzatuen bidez lortutako datuak berretsi eta baliozkotzeko beharra.
Bereziki, gure datuak biltzeko estrategiaren muinean "dork" (bilaketa aurreratuko kateak) espezifikoak erabili ziren, bilaketa-motor generiko nagusietan aplikatuak, baita bilaketa-motor espezializatuak erabili ere Interneten dauden domeinuak, webguneak eta gailuak indexatzeko. Tresna espezializatu horien artean, Gauzen Interneterako (IoT) bilaketa-motorrak eta Shodanen antzeko zerbitzu-plataformak erabili genituen, hala nola Fofa.io eta Shodan.io. Tresna horiei esker, ez ditugu domeinuak bakarrik identifikatu, baita agerian dauden zerbitzuak eta portuak ere, ahultasun potentzialak edo nahi gabeko esposizioak agerian utziz.
Ikerketa metodologia geruzatu honen helburu nagusia bikoitza zen:
- Parte hartzen duten entitate digitalen paisaiaren ikuspegi ahalik eta osoena eta osoena lortzea.
- Benetan arriskuan jarri diren domeinuak zehatz-mehatz identifikatzea, teorikoki zaurgarriak diren domeinuak identifikatzeaz haratago joanez.
Analisi zehatz honek ziurtatu zuen ondorioak egiaztatutako datuetan oinarrituta zeudela eta kaltetutako sistemen perimetroa ahalik eta zehaztasun handienarekin zehazten zela.
