NordVPNs forskningsenhet for trusselintelligens kunngjør at de har avdekket en sofistikert phishing-kampanje rettet mot jobbsøkere, der de utgir seg for å være noen av verdens mest anerkjente selskaper. Operasjonen utnytter navnene til globale giganter som Meta (og datterselskaper som Facebook og WhatsApp), Disney, Coca-Cola og Spotify for å stjele ofrenes Facebook-påloggingsinformasjon og kapre kontoene deres.
Etterforskningen avdekket en operasjon i flere trinn. I den bruker angriperne skjulte domener («HUB-er»), mekanismer for aktivering av henvisningslenker og realistiske grensesnitt for stillingsannonser for å veilede ofrene gjennom en nøye konstruert sti. Det siste trinnet omdirigerer dem til en falsk Facebook-innloggingsside, designet for å fange opp legitimasjonen deres.
«Jobbsøkere er spesielt sårbare fordi de allerede er vant til å dele personlig informasjon og følge instruksjoner fra ukjente kontakter», sier Domininkas Virbickas, produktdirektør hos NordVPN. «Disse kampanjene utnytter denne tilliten ved hjelp av sofistikert kommunikasjon og overbevisende falske karriereportaler som praktisk talt ikke kan skilles fra de ekte.»
Kampanjen starter med en kald e-post, vanligvis sendt gjennom legitime tjenester som Google AppSheet for å omgå spamfiltre. Disse meldingene fremstår polerte og profesjonelle, med upåklagelig grammatikk og en tone som etterligner ekte rekrutteringsmetoder. Kontaktlistene er sannsynligvis samlet gjennom automatisert datainnsamling fra plattformer som LinkedIn eller hentet fra tidligere datainnbrudd.
Lenken i e-posten leder ofrene til et «HUB»-domene (som for eksempel careers.meta-findyourjob[.]com). Disse nettstedene er utformet med en innebygd omgåelsesmekanisme. Hvis noen, enten det er en sikkerhetsanalytiker eller en automatisert skanner, besøker domenet direkte, vil de bare se en generisk, inert side uten interaktiv funksjonalitet.
Dermed aktiveres det skadelige innholdet bare når nettstedet åpnes via en spesifikk henvisningslenke som er innebygd i phishing-e-posten. Denne henvisningslenken fungerer som en nøkkel, og låser opp en klikkbar «Søk etter en jobb»-knapp som ellers ville forblitt skjult.
Så snart offeret klikker på lenken, blir de omdirigert til et mellomliggende domene som simulerer en legitim jobbportal. Grensesnittet lar brukerne bla gjennom tilsynelatende troverdige stillingsutlysninger fra det falske merket, noe som forsterker illusjonen om at de deltar i en reell utvelgelsesprosess.
Eksempler inkluderer plus.jobfusion-mt[.]com og official.professionlaunch-mt[.]com for Meta, careers.coca-contactnow[.]info for Coca-Cola, connect.spotifycareerapply[.]com for Spotify og jobquest.wdcfuturesteps[.]com for Disney.
Fellen lukkes når offeret klikker på «Søk» eller «Send inn søknad». I stedet for et jobbsøknadsskjema blir de omdirigert til en phishing-side som krever at de logger inn via Facebook for å «fortsette med søknaden». Denne siden er utformet for å fange opp offerets Facebook-legitimasjon, noe som gir angriperne full kontroll over kontoen og potensielt alle tjenester som er knyttet til den.
Kampanjen fremhever en økende trend med angripere som bruker pålitelige merkevarer og profesjonelle kontekster som våpen for å omgå ofrenes naturlige skepsis. Fordi phishing-flyten etterligner en reell rekrutteringsprosess så presist, kan selv forsiktige brukere bli tatt på senga.
NordVPN foreslår tre handlinger brukere bør gjøre når de mottar e-post med ledige stillinger:
- Bekreft URL-en før du skriver inn noen påloggingsinformasjon. Legitime selskaper er vert for karrieresider på sine offisielle domener, ikke på tredjepartsnettsteder med uvanlige navn. Det samme gjelder for innloggingsforespørsler på sosiale medier. «Logg inn med Facebook»-knappene på legitime plattformer vil alltid omdirigere deg til det offisielle facebook.com-domenet. Hvis innloggingssiden er vert på en ukjent URL, er det sannsynligvis et phishing-forsøk.
- Aktiver flerfaktorautentisering (MFA) på alle sosiale mediekontoer. Selv om legitimasjon er kompromittert, kan 2FA forhindre at angripere får tilgang.
- Stol aldri på uoppfordrede jobbtilbud som kommer via e-post eller meldingsapper, spesielt de som presser deg til å handle raskt.
Metodikk:
Etterforskningsprosessen brukte metoder fra åpen kildekode-etterretning (OSINT) og det påfølgende behovet for å bekrefte og validere dataene som ble innhentet gjennom kryssreferanser.
Kjernen i vår datainnsamlingsstrategi inkluderte spesielt bruk av spesifikke «dorks» (avanserte søkestrenger) brukt på store generiske søkemotorer, samt bruk av spesialiserte søkemotorer for å indeksere domener, nettsteder og enheter som er eksponert på internett. Blant disse spesialiserte verktøyene gjorde vi omfattende bruk av søkemotorer for tingenes internett (IoT) og tjenesteplattformer som ligner på Shodan, som Fofa.io og Shodan.io. Disse verktøyene tillot oss å identifisere ikke bare domenene, men også de eksponerte tjenestene og portene, og avdekke potensielle sårbarheter eller utilsiktede eksponeringer.
Hovedmålet med denne lagdelte forskningsmetodikken var todelt:
- For å få et mest mulig uttømmende og fullstendig bilde av landskapet til de involverte digitale enhetene.
- For å nøyaktig identifisere domenene som faktisk har blitt kompromittert, gå utover å bare identifisere teoretisk sårbare domener.
Denne detaljerte analysen sikret at konklusjonene var basert på verifiserte data og at omkretsen av de kompromitterte systemene ble avgrenset med størst mulig presisjon.
