NordVPNの脅威インテリジェンス調査部門は、世界的に有名な企業を装い、求職者を標的とした高度なフィッシング攻撃を発見したと発表しました。この攻撃は、Meta（およびその子会社であるFacebookやWhatsApp）、ディズニー、コカ・コーラ、Spotifyといった世界的な巨大企業の名前を悪用し、被害者のFacebookアカウントの認証情報を盗み出し、アカウントを乗っ取るものです。.
調査の結果、複数の段階を経た攻撃であることが明らかになった。攻撃者は、隠しドメイン（「HUB」）、紹介リンクの有効化メカニズム、そして本物そっくりの求人広告インターフェースを用いて、巧妙に構築された経路で被害者を誘導する。最終段階では、被害者の認証情報を盗み出すために設計された偽のFacebookログインページにリダイレクトされる。.
「求職者は、見知らぬ相手からの個人情報の共有や指示に従うことに慣れているため、特に脆弱です」と、NordVPNのプロダクトディレクター、ドミニクカス・ヴィルビカス氏は述べています。「これらのキャンペーンは、巧妙なコミュニケーションと本物とほとんど見分けがつかないほど精巧な偽の求人サイトを利用して、求職者の信頼を悪用しています。」
このキャンペーンは、スパムフィルターを回避するためにGoogle AppSheetなどの正規サービスを利用して送信される、いわゆるコールドメールから始まります。これらのメールは、完璧な文法と実際の採用活動を模倣したトーンで、洗練されたプロフェッショナルな印象を与えます。連絡先リストは、LinkedInなどのプラットフォームからの自動データ収集、または過去のデータ漏洩によって入手されたものと考えられます。.
メール内のリンクをクリックすると、被害者は「HUB」ドメイン（例：careers.meta-findyourjob[.]com）に誘導されます。これらのサイトは、回避メカニズムが組み込まれています。セキュリティアナリストや自動スキャナーなど、誰かが直接ドメインにアクセスしても、インタラクティブな機能のない、汎用的なページが表示されるだけです。.
つまり、悪意のあるコンテンツは、フィッシングメールに埋め込まれた特定の紹介リンクからサイトにアクセスした場合にのみ有効になります。この紹介リンクは鍵のような役割を果たし、通常は非表示になっている「求人検索」ボタンをクリック可能にします。.
被害者がリンクをクリックするとすぐに、正規の求人ポータルサイトを装った中間ドメインにリダイレクトされます。このインターフェースでは、偽のブランドから発信されている一見信頼できる求人情報を閲覧できるため、まるで本物の選考プロセスに参加しているかのような錯覚に陥ります。.
例としては、Meta の plus.jobfusion-mt[.]com と official.professionlaunch-mt[.]com、Coca-Cola の careers.coca-contactnow[.]info、Spotify の connect.spotifycareerapply[.]com、Disney の jobquest.wdcfuturesteps[.]com などがあります。.
被害者が「応募する」または「応募を送信する」をクリックすると、罠が作動します。求人応募フォームではなく、Facebook経由でログインして「応募手続きを進める」よう求めるフィッシングページにリダイレクトされます。このページは、被害者のFacebook認証情報を取得するように設計されており、攻撃者はアカウントを完全に制御できるようになり、場合によってはアカウントに紐づけられたすべてのサービスも利用できるようになります。.
このキャンペーンは、攻撃者が信頼できるブランドや専門的な状況を武器として、被害者の自然な懐疑心を回避しようとする傾向が強まっていることを浮き彫りにしている。フィッシング攻撃の流れは実際の採用プロセスを非常に巧妙に模倣しているため、用心深いユーザーでさえも油断してしまう可能性がある。.
NordVPNは、求人情報が記載されたメールを受け取った際にユーザーが取るべき3つの行動を提案しています。
- 認証情報を入力する前に、URLを確認してください。正規の企業は、採用ページを自社の公式ドメインに掲載しており、見慣れない名前のサードパーティのウェブサイトには掲載していません。ソーシャルメディアのログインリクエストについても同様です。正規のプラットフォームにある「Facebookでログイン」ボタンは、必ず公式のfacebook.comドメインにリダイレクトされます。ログインページが見慣れないURLに掲載されている場合は、フィッシング詐欺の可能性が高いです。.
- すべてのソーシャルメディアアカウントで多要素認証（MFA）を有効にしてください。認証情報が漏洩した場合でも、2要素認証によって攻撃者による不正アクセスを防ぐことができます。.
- メールやメッセージアプリで送られてくる、身に覚えのない求人情報は決して信用してはいけません。特に、迅速な対応を迫るようなものには注意が必要です。.
方法論：
調査プロセスではオープンソースインテリジェンス（OSINT）の手法が用いられ、その結果、相互参照によって得られたデータを裏付け、検証する必要が生じた。.
特に、データ収集戦略の中核には、主要な汎用検索エンジンに適用される特定の「dork」（高度な検索文字列）の使用に加え、インターネット上に公開されているドメイン、ウェブサイト、デバイスをインデックス化するための専用検索エンジンの使用が含まれていました。これらの専用ツールの中でも、モノのインターネット（IoT）向け検索エンジンや、Shodanと同様のサービスプラットフォーム（Fofa.ioやShodan.ioなど）を幅広く活用しました。これらのツールにより、ドメインだけでなく、公開されているサービスやポートも特定することができ、潜在的な脆弱性や意図しない情報漏洩を明らかにすることができました。.
この階層的な研究手法の主な目的は2つあった。
- 関係するデジタルエンティティの状況を、可能な限り網羅的かつ完全に把握するため。.
- 理論的に脆弱なドメインを特定するだけでなく、実際に侵害されたドメインを正確に特定するため。.
この詳細な分析により、結論が検証済みのデータに基づいていること、および侵害されたシステムの範囲が可能な限り高い精度で特定されることが保証された。.
