האקרים משתמשים בהצעות עבודה מזויפות במטא, דיסני, קוקה קולה וספוטיפיי כדי לגנוב ממשתמשים

יחידת המחקר של NordVPN בתחום מודיעין האיומים מודיעה כי חשפה קמפיין פישינג מתוחכם המכוון למבקשי עבודה, ומתחזה על כמה מהחברות המוכרות בעולם. המבצע מנצל את שמותיהן של ענקיות גלובליות כמו מטה (וחברות הבת שלה, כמו פייסבוק וואטסאפ), דיסני, קוקה קולה וספוטיפיי כדי לגנוב את פרטי הפייסבוק של הקורבנות ולחטוף את חשבונותיהם.

החקירה חשפה פעולה רב-שלבית. במסגרתה, התוקפים משתמשים בדומיינים נסתרים ("HUBs"), מנגנוני הפעלת קישורי הפניה וממשקי פרסום דרושים מציאותיים כדי להנחות את הקורבנות בנתיב שנבנה בקפידה. השלב האחרון מפנה אותם לדף כניסה מזויף לפייסבוק, שנועד ללכוד את פרטי הכניסה שלהם.

"מחפשי עבודה פגיעים במיוחד משום שהם כבר רגילים לשתף מידע אישי ולפעול לפי הוראות מאנשי קשר לא ידועים", אומר דומינינקס וירביקאס, מנהל מוצר ב-NordVPN. "קמפיינים אלה מנצלים את האמון הזה באמצעות תקשורת מתוחכמת ופורטלים משכנעים של קריירה מזויפת שכמעט ולא ניתנת להבחנה מהפורטלים האמיתיים"

הקמפיין מתחיל באימייל קר, שבדרך כלל נשלח דרך שירותים לגיטימיים כמו Google AppSheet כדי לעקוף מסנני דואר זבל. הודעות אלו נראות מלוטשות ומקצועיות, עם דקדוק ללא דופי וטון המחקה גישות גיוס אמיתיות. רשימות אנשי הקשר ככל הנראה נאספו באמצעות איסוף נתונים אוטומטי מפלטפורמות כמו לינקדאין או התקבלו מדליפות נתונים קודמות.

הקישור באימייל מפנה את הקורבנות לדומיין "HUB" (כגון careers.meta-findyourjob[.]com). אתרים אלה מעוצבים עם מנגנון התחמקות מובנה. אם מישהו, בין אם אנליסט אבטחה או סורק אוטומטי, מבקר ישירות בדומיין, הוא יראה רק דף כללי ואינרטי ללא פונקציונליות אינטראקטיבית.

לפיכך, התוכן הזדוני מופעל רק כאשר ניגשים לאתר דרך קישור הפניה ספציפי המוטמע בדוא"ל הפישינג. קישור הפניה זה משמש כמפתח, ופותח כפתור "חפש עבודה" הניתן ללחיצה, שאחרת היה נשאר מוסתר.

ברגע שהקורבן לוחץ על הקישור, הוא מופנה לדומיין ביניים המדמה פורטל דרושים לגיטימי. הממשק מאפשר למשתמשים לעיין במודעות דרושים שנראות אמינות מהמותג המזויף, מה שמחזק את האשליה שהם משתתפים בתהליך מיון אמיתי.

דוגמאות לכך כוללות plus.jobfusion-mt[.]com ו-official.professionlaunch-mt[.]com עבור Meta, careers.coca-contactnow[.]info עבור Coca-Cola, connect.spotifycareerapply[.]com עבור Spotify, ו-jobquest.wdcfuturesteps[.]com עבור Disney.

המלכודת נסגרת כאשר הקורבן לוחץ על "הגש מועמדות" או "שלח מועמדות". במקום טופס בקשת עבודה, הם מופנים לדף פישינג הדורש מהם להתחבר דרך פייסבוק כדי "להמשיך עם הגשת המועמדות". דף זה נועד ללכוד את פרטי הפייסבוק של הקורבן, ובכך לתת לתוקפים שליטה מלאה על החשבון ועל כל השירותים המקושרים אליו.

הקמפיין מדגיש מגמה הולכת וגוברת של תוקפים המשתמשים במותגים מהימנים ובהקשרים מקצועיים ככלי נשק כדי לעקוף את הספקנות הטבעית של הקורבנות. מכיוון שזרימת הפישינג מחקה תהליך גיוס אמיתי בצורה מדויקת כל כך, אפילו משתמשים זהירים עלולים להיתפס לא מוכנים.

NordVPN מציעה שלוש פעולות שמשתמשים צריכים לנקוט בעת קבלת כל סוג של דוא"ל עם משרות פנויות:

• יש לאמת את כתובת האתר לפני הזנת פרטי גישה כלשהם. חברות לגיטימיות מארחות דפי קריירה בדומיינים הרשמיים שלהן, ולא באתרי צד שלישי עם שמות יוצאי דופן. הדבר נכון גם לגבי בקשות התחברות ברשתות חברתיות. כפתורי "התחברות באמצעות פייסבוק" בפלטפורמות לגיטימיות תמיד יפנו אתכם לדומיין הרשמי facebook.com. אם דף ההתחברות מתארח בכתובת אתר לא ידועה, סביר להניח שמדובר בניסיון פישינג.
• הפעל אימות רב-גורמי (MFA) בכל חשבונות המדיה החברתית. גם אם סיסמאות נחשפות, אימות רב-גורמי יכול למנוע מתוקפים לקבל גישה.
• לעולם אל תסמכו על הצעות עבודה לא רצויות שמגיעות דרך דוא"ל או אפליקציות העברת הודעות, במיוחד לא כאלה שלוחצות עליכם לפעול במהירות.

מֵתוֹדוֹלוֹגִיָה:

תהליך החקירה השתמש במתודולוגיות של מודיעין בקוד פתוח (OSINT) וכתוצאה מכך נדרש לאמת ולאמת את הנתונים שהתקבלו באמצעות הפניות צולבות.

בפרט, ליבת אסטרטגיית איסוף הנתונים שלנו כללה שימוש ב"דורקס" (מחרוזות חיפוש מתקדמות) ספציפיות שהוחלו על מנועי חיפוש גנריים גדולים, כמו גם שימוש במנועי חיפוש ייעודיים לאינדוקס דומיינים, אתרים ומכשירים החשופים באינטרנט. בין הכלים הייעודיים הללו, עשינו שימוש נרחב במנועי חיפוש עבור האינטרנט של הדברים (IoT) ובפלטפורמות שירות דומות ל-Shodan, כגון Fofa.io ו-Shodan.io. כלים אלה אפשרו לנו לזהות לא רק את הדומיינים אלא גם את השירותים והפורטים החשופים, וחשפו פגיעויות פוטנציאליות או חשיפות לא מכוונות.

המטרה העיקרית של מתודולוגיית מחקר רב-שכבתית זו הייתה כפולה:

• כדי לקבל את התמונה המקיפה והמלאה ביותר האפשרית של הנוף של הישויות הדיגיטליות המעורבות.
• כדי לזהות במדויק את הדומיינים שנפגעו בפועל, מעבר לזיהוי פשוט של דומיינים פגיעים תיאורטית.

ניתוח מפורט זה הבטיח שהמסקנות התבססו על נתונים מאומתים וכי היקף המערכות שנפגעו תוווה בדיוק הרב ביותר האפשרי.