Unit penyelidikan Threat Intelligence NordVPN mengumumkan bahawa ia telah membongkar kempen pancingan data canggih yang menyasarkan pemohon kerja, menyamar sebagai beberapa syarikat paling dikenali di dunia. Operasi ini mengeksploitasi nama-nama gergasi global seperti Meta (dan anak syarikatnya, seperti Facebook dan WhatsApp), Disney, Coca-Cola dan Spotify untuk mencuri kelayakan Facebook mangsa dan merampas akaun mereka.
Siasatan itu mendedahkan operasi berbilang peringkat. Di dalamnya, penyerang menggunakan domain tersembunyi (“HUB”), mekanisme pengaktifan pautan rujukan dan antara muka iklan pekerjaan yang realistik untuk membimbing mangsa melalui laluan yang dibina dengan teliti. Langkah terakhir mengalihkan mereka ke halaman log masuk Facebook palsu, yang direka untuk mendapatkan kelayakan mereka.
“Pencari kerja amat terdedah kerana mereka sudah biasa berkongsi maklumat peribadi dan mengikuti arahan daripada kenalan yang tidak dikenali,” kata Domininkas Virbickas, pengarah produk di NordVPN. “Kempen-kempen ini mengeksploitasi kepercayaan ini menggunakan komunikasi yang canggih dan meyakinkan portal kerjaya palsu yang hampir tidak dapat dibezakan daripada yang sebenar.”
Kempen ini bermula dengan e-mel sejuk, biasanya dihantar melalui perkhidmatan yang sah seperti Google AppSheet untuk memintas penapis spam. Mesej-mesej ini kelihatan rapi dan profesional, dengan tatabahasa yang sempurna dan nada yang meniru pendekatan pengambilan pekerja sebenar. Senarai kenalan mungkin disusun melalui pengumpulan data automatik daripada platform seperti LinkedIn atau diperoleh daripada pelanggaran data sebelumnya.
Pautan dalam e-mel tersebut mengarahkan mangsa ke domain "HUB" (seperti careers.meta-findyourjob[.]com). Laman-laman ini direka bentuk dengan mekanisme pengelakan terbina dalam. Jika seseorang, sama ada penganalisis keselamatan atau pengimbas automatik, melawati domain tersebut secara langsung, mereka hanya akan melihat halaman generik dan lengai tanpa fungsi interaktif.
Oleh itu, kandungan berniat jahat hanya diaktifkan apabila laman web diakses melalui pautan rujukan tertentu yang terbenam dalam e-mel pancingan data. Pautan rujukan ini bertindak sebagai kunci, membuka butang "Cari kerja" yang boleh diklik yang sebaliknya akan kekal tersembunyi.
Sebaik sahaja mangsa mengklik pautan tersebut, mereka akan dialihkan ke domain perantara yang mensimulasikan portal pekerjaan yang sah. Antara muka ini membolehkan pengguna melayari iklan pekerjaan yang nampaknya boleh dipercayai daripada jenama palsu, mengukuhkan ilusi bahawa mereka sedang mengambil bahagian dalam proses pemilihan yang sebenar.
Contohnya termasuk plus.jobfusion-mt[.]com dan official.professionlaunch-mt[.]com untuk Meta, careers.coca-contactnow[.]info untuk Coca-Cola, connect.spotifycareerapply[.]com untuk Spotify dan jobquest.wdcfuturesteps[.]com untuk Disney.
Perangkap akan ditutup apabila mangsa mengklik "Mohon" atau "Hantar permohonan." Daripada borang permohonan kerja, mereka akan dialihkan ke halaman pancingan data yang memerlukan mereka log masuk melalui Facebook untuk "meneruskan permohonan." Halaman ini direka bentuk untuk mendapatkan kelayakan Facebook mangsa, memberikan penyerang kawalan penuh ke atas akaun tersebut dan mungkin semua perkhidmatan yang dipautkan kepadanya.
Kempen ini mengetengahkan trend penyerang yang semakin meningkat menggunakan jenama yang dipercayai dan konteks profesional sebagai senjata untuk mengelakkan keraguan semula jadi mangsa. Oleh kerana aliran pancingan data meniru proses perekrutan sebenar dengan begitu tepat, pengguna yang berhati-hati juga boleh terpedaya.
NordVPN mencadangkan tiga tindakan yang perlu diambil oleh pengguna apabila menerima sebarang jenis e-mel dengan kekosongan jawatan:
- Sahkan URL sebelum memasukkan sebarang kelayakan. Syarikat yang sah mengehoskan halaman kerjaya di domain rasmi mereka, bukan di laman web pihak ketiga dengan nama yang luar biasa. Perkara yang sama berlaku untuk permintaan log masuk di media sosial. Butang "Log masuk dengan Facebook" pada platform yang sah akan sentiasa mengalihkan anda ke domain rasmi facebook.com. Jika halaman log masuk dihoskan pada URL yang tidak diketahui, ia mungkin percubaan pancingan data.
- Dayakan pengesahan berbilang faktor (MFA) pada semua akaun media sosial. Walaupun kelayakan digodam, 2FA boleh menghalang penyerang daripada mendapat akses.
- Jangan sekali-kali mempercayai tawaran kerja yang tidak diminta yang tiba melalui e-mel atau aplikasi pesanan, terutamanya yang memberi tekanan kepada anda untuk bertindak pantas.
Metodologi:
Proses penyiasatan menggunakan metodologi perisikan sumber terbuka (OSINT) dan seterusnya memerlukan pengesahan dan pengesahan data yang diperoleh melalui rujukan silang.
Khususnya, teras strategi pengumpulan data kami merangkumi penggunaan "dork" tertentu (rentetan carian lanjutan) yang digunakan pada enjin carian generik utama, serta penggunaan enjin carian khusus untuk mengindeks domain, laman web dan peranti yang terdedah di internet. Antara alat khusus ini, kami menggunakan enjin carian secara meluas untuk Internet of Things (IoT) dan platform perkhidmatan yang serupa dengan Shodan, seperti Fofa.io dan Shodan.io. Alat ini membolehkan kami mengenal pasti bukan sahaja domain tetapi juga perkhidmatan dan port yang terdedah, mendedahkan potensi kelemahan atau pendedahan yang tidak disengajakan.
Objektif utama metodologi penyelidikan berlapis ini adalah dua:
- Untuk mendapatkan pandangan yang paling menyeluruh dan lengkap tentang landskap entiti digital yang terlibat.
- Untuk mengenal pasti domain yang sebenarnya telah dicerobohi dengan tepat, melangkaui sekadar mengenal pasti domain yang terdedah secara teorinya.
Analisis terperinci ini memastikan bahawa kesimpulan adalah berdasarkan data yang disahkan dan perimeter sistem yang terjejas telah ditakrifkan dengan ketepatan yang sebaik mungkin.
