Unit riset Intelijen Ancaman NordVPN mengumumkan bahwa mereka telah mengungkap kampanye phishing canggih yang menargetkan pelamar kerja, dengan menyamar sebagai beberapa perusahaan paling terkenal di dunia. Operasi ini memanfaatkan nama-nama raksasa global seperti Meta (dan anak perusahaannya, seperti Facebook dan WhatsApp), Disney, Coca-Cola, dan Spotify untuk mencuri kredensial Facebook korban dan membajak akun mereka.
Investigasi tersebut mengungkap operasi bertahap. Dalam operasi ini, para penyerang menggunakan domain tersembunyi ("HUB"), mekanisme aktivasi tautan rujukan, dan antarmuka iklan lowongan kerja yang realistis untuk memandu korban melalui jalur yang dirancang dengan cermat. Langkah terakhir mengarahkan mereka ke halaman login Facebook palsu, yang dirancang untuk mencuri kredensial mereka.
“Para pencari kerja sangat rentan karena mereka sudah terbiasa berbagi informasi pribadi dan mengikuti instruksi dari kontak yang tidak dikenal,” kata Domininkas Virbickas, direktur produk di NordVPN. “Kampanye-kampanye ini mengeksploitasi kepercayaan ini menggunakan komunikasi yang canggih dan portal karier palsu yang meyakinkan, yang hampir tidak dapat dibedakan dari yang asli.”
Kampanye dimulai dengan email dingin, biasanya dikirim melalui layanan sah seperti Google AppSheet untuk melewati filter spam. Pesan-pesan ini tampak rapi dan profesional, dengan tata bahasa yang sempurna dan nada yang meniru pendekatan perekrutan yang sebenarnya. Daftar kontak kemungkinan besar disusun melalui pengumpulan data otomatis dari platform seperti LinkedIn atau diperoleh dari kebocoran data sebelumnya.
Tautan dalam email mengarahkan korban ke domain "HUB" (seperti careers.meta-findyourjob[.]com). Situs-situs ini dirancang dengan mekanisme penghindaran bawaan. Jika seseorang, baik analis keamanan atau pemindai otomatis, mengunjungi domain tersebut secara langsung, mereka hanya akan melihat halaman generik dan tidak interaktif.
Dengan demikian, konten berbahaya hanya diaktifkan ketika situs diakses melalui tautan rujukan khusus yang tertanam dalam email phishing. Tautan rujukan ini bertindak sebagai kunci, membuka tombol "Cari pekerjaan" yang dapat diklik yang seharusnya tetap tersembunyi.
Begitu korban mengklik tautan tersebut, mereka akan dialihkan ke domain perantara yang mensimulasikan portal pekerjaan yang sah. Antarmuka tersebut memungkinkan pengguna untuk menelusuri lowongan pekerjaan yang tampak terpercaya dari merek palsu tersebut, memperkuat ilusi bahwa mereka sedang berpartisipasi dalam proses seleksi yang sebenarnya.
Contohnya termasuk plus.jobfusion-mt[.]com dan official.professionlaunch-mt[.]com untuk Meta, careers.coca-contactnow[.]info untuk Coca-Cola, connect.spotifycareerapply[.]com untuk Spotify, dan jobquest.wdcfuturesteps[.]com untuk Disney.
Jebakan tersebut tertutup ketika korban mengklik "Lamar" atau "Kirim lamaran." Alih-alih formulir lamaran kerja, mereka dialihkan ke halaman phishing yang mengharuskan mereka untuk masuk melalui Facebook untuk "melanjutkan lamaran." Halaman ini dirancang untuk mendapatkan kredensial Facebook korban, memberikan penyerang kendali penuh atas akun tersebut dan berpotensi semua layanan yang terhubung dengannya.
Kampanye ini menyoroti tren yang semakin meningkat di mana para penyerang menggunakan merek tepercaya dan konteks profesional sebagai senjata untuk mengelabui skeptisisme alami para korban. Karena alur phishing meniru proses rekrutmen nyata dengan sangat tepat, bahkan pengguna yang berhati-hati pun dapat lengah.
NordVPN menyarankan tiga tindakan yang harus dilakukan pengguna saat menerima email apa pun yang berisi lowongan pekerjaan:
- Verifikasi URL sebelum memasukkan kredensial apa pun. Perusahaan yang sah akan menempatkan halaman karier di domain resmi mereka, bukan di situs web pihak ketiga dengan nama yang tidak biasa. Hal yang sama berlaku untuk permintaan login di media sosial. Tombol "Masuk dengan Facebook" di platform yang sah akan selalu mengarahkan Anda ke domain facebook.com resmi. Jika halaman login berada di URL yang tidak dikenal, kemungkinan besar itu adalah upaya phishing.
- Aktifkan otentikasi multi-faktor (MFA) pada semua akun media sosial. Bahkan jika kredensial disalahgunakan, 2FA dapat mencegah penyerang mendapatkan akses.
- Jangan pernah mempercayai tawaran pekerjaan yang tidak diminta yang datang melalui email atau aplikasi perpesanan, terutama yang mendesak Anda untuk bertindak cepat.
Metodologi:
Proses investigasi menggunakan metodologi intelijen sumber terbuka (OSINT) dan oleh karena itu diperlukan penguatan dan validasi data yang diperoleh melalui pengecekan silang.
Secara khusus, inti dari strategi pengumpulan data kami mencakup penggunaan "dork" (string pencarian lanjutan) tertentu yang diterapkan pada mesin pencari generik utama, serta penggunaan mesin pencari khusus untuk mengindeks domain, situs web, dan perangkat yang terekspos di internet. Di antara alat-alat khusus ini, kami banyak menggunakan mesin pencari untuk Internet of Things (IoT) dan platform layanan yang mirip dengan Shodan, seperti Fofa.io dan Shodan.io. Alat-alat ini memungkinkan kami untuk mengidentifikasi tidak hanya domain tetapi juga layanan dan port yang terekspos, sehingga mengungkap potensi kerentanan atau paparan yang tidak disengaja.
Tujuan utama dari metodologi penelitian berlapis ini ada dua:
- Untuk memperoleh gambaran yang paling menyeluruh dan lengkap mengenai lanskap entitas digital yang terlibat.
- Untuk mengidentifikasi secara akurat domain yang benar-benar telah disusupi, melampaui sekadar mengidentifikasi domain yang secara teoritis rentan.
Analisis terperinci ini memastikan bahwa kesimpulan didasarkan pada data yang terverifikasi dan bahwa batasan sistem yang disusupi digambarkan dengan ketelitian setinggi mungkin.
