Výskumná jednotka NordVPN Threat Intelligence oznámila, že odhalila sofistikovanú phishingovú kampaň zameranú na uchádzačov o zamestnanie, ktorá sa vydáva za niektoré z najuznávanejších svetových spoločností. Operácia zneužíva mená globálnych gigantov, ako sú Meta (a jej dcérske spoločnosti, ako sú Facebook a WhatsApp), Disney, Coca-Cola a Spotify, na krádež prihlasovacích údajov obetí na Facebooku a zneužitie ich účtov.
Vyšetrovanie odhalilo viacstupňovú operáciu. Útočníci v nej používajú skryté domény („HUB“), mechanizmy aktivácie referenčných odkazov a realistické rozhrania pracovných inzerátov, aby obete previedli starostlivo vytvorenou cestou. Posledný krok ich presmeruje na falošnú prihlasovaciu stránku na Facebooku, ktorá je navrhnutá tak, aby získala ich prihlasovacie údaje.
„Uchádzači o zamestnanie sú obzvlášť zraniteľní, pretože sú už zvyknutí zdieľať osobné informácie a riadiť sa pokynmi od neznámych kontaktov,“ hovorí Domininkas Virbickas, produktový riaditeľ spoločnosti NordVPN. „Tieto kampane zneužívajú túto dôveru pomocou sofistikovanej komunikácie a presvedčivých falošných kariérnych portálov, ktoré sú prakticky nerozoznateľné od tých skutočných.“
Kampaň začína studeným e-mailom, zvyčajne odoslaným prostredníctvom legitímnych služieb, ako je Google AppSheet, aby sa obišli spamové filtre. Tieto správy pôsobia uhladene a profesionálne, s bezchybnou gramatikou a tónom, ktorý napodobňuje skutočné náborové prístupy. Zoznamy kontaktov sa pravdepodobne zostavujú prostredníctvom automatizovaného zberu údajov z platforiem, ako je LinkedIn, alebo sa získavajú z predchádzajúcich únikov údajov.
Odkaz v e-maile presmeruje obete na doménu „HUB“ (napríklad careers.meta-findyourjob[.]com). Tieto stránky sú navrhnuté so zabudovaným mechanizmom obchádzania. Ak niekto, či už bezpečnostný analytik alebo automatizovaný skener, navštívi doménu priamo, uvidí iba všeobecnú, inertnú stránku bez interaktívnej funkcionality.
Škodlivý obsah sa teda aktivuje iba vtedy, keď sa na stránku dostane prostredníctvom špecifického referenčného odkazu vloženého do phishingového e-mailu. Tento referenčný odkaz slúži ako kľúč, ktorý odomkne klikateľné tlačidlo „Hľadať prácu“, ktoré by inak zostalo skryté.
Hneď ako obeť klikne na odkaz, je presmerovaná na sprostredkovateľskú doménu, ktorá simuluje legitímny pracovný portál. Rozhranie umožňuje používateľom prezerať si zdanlivo dôveryhodné pracovné ponuky od falošnej značky, čím sa posilňuje ilúzia, že sa zúčastňujú skutočného výberového procesu.
Príklady zahŕňajú plus.jobfusion-mt[.]com a official.professionlaunch-mt[.]com pre Meta, careers.coca-contactnow[.]info pre Coca-Colu, connect.spotifycareerapply[.]com pre Spotify a jobquest.wdcfuturesteps[.]com pre Disney.
Pasca sa zatvorí, keď obeť klikne na tlačidlo „Prihlásiť sa“ alebo „Odoslať žiadosť“. Namiesto formulára žiadosti o zamestnanie je presmerovaná na phishingovú stránku, ktorá vyžaduje prihlásenie cez Facebook, aby mohla „pokračovať v žiadosti“. Táto stránka je navrhnutá tak, aby zachytila prihlasovacie údaje obete na Facebooku, čím útočníkom poskytne úplnú kontrolu nad účtom a potenciálne všetkými službami, ktoré sú s ním prepojené.
Kampaň zdôrazňuje rastúci trend útočníkov, ktorí používajú dôveryhodné značky a profesionálne kontexty ako zbrane na obídenie prirodzeného skepticizmu obetí. Keďže phishingový proces tak presne napodobňuje skutočný náborový proces, aj opatrní používatelia môžu byť zaskočení.
NordVPN navrhuje tri kroky, ktoré by mali používatelia vykonať pri prijatí akéhokoľvek typu e-mailu s ponukami pracovných miest:
- Pred zadaním akýchkoľvek prihlasovacích údajov overte URL adresu. Legitímne spoločnosti hostujú stránky s pracovnými ponukami na svojich oficiálnych doménach, nie na webových stránkach tretích strán s nezvyčajnými názvami. To isté platí pre požiadavky na prihlásenie na sociálnych sieťach. Tlačidlá „Prihlásiť sa cez Facebook“ na legitímnych platformách vás vždy presmerujú na oficiálnu doménu facebook.com. Ak je prihlasovacia stránka hostovaná na neznámej URL adrese, pravdepodobne ide o pokus o phishing.
- Povoľte viacfaktorové overovanie (MFA) na všetkých účtoch sociálnych médií. Aj keď sú poverenia ohrozené, 2FA môže zabrániť útočníkom v prístupe.
- Nikdy neverte nevyžiadaným pracovným ponukám, ktoré prichádzajú prostredníctvom e-mailu alebo aplikácií na posielanie správ, najmä tým, ktoré na vás nútia konať rýchlo.
Metodika:
Vyšetrovací proces využíval metodiky spravodajských informácií z otvorených zdrojov (OSINT) a následnú potrebu potvrdiť a validovať údaje získané krížovým porovnávaním.
Jadro našej stratégie zberu údajov zahŕňalo najmä používanie špecifických „dorkov“ (pokročilé vyhľadávacie reťazce) aplikovaných na hlavné generické vyhľadávače, ako aj používanie špecializovaných vyhľadávačov na indexovanie domén, webových stránok a zariadení vystavených na internete. Medzi týmito špecializovanými nástrojmi sme vo veľkej miere využívali vyhľadávače pre internet vecí (IoT) a servisné platformy podobné Shodanu, ako napríklad Fofa.io a Shodan. Tieto nástroje nám umožnili identifikovať nielen domény, ale aj vystavené služby a porty, čím odhalili potenciálne zraniteľnosti alebo neúmyselné vystavenia.
Hlavný cieľ tejto viacvrstvovej výskumnej metodiky bol dvojaký:
- Získať čo najúplnejší a najkomplexnejší pohľad na prostredie zúčastnených digitálnych subjektov.
- Presne identifikovať domény, ktoré boli skutočne napadnuté, a to nad rámec jednoduchej identifikácie teoreticky zraniteľných domén.
Táto podrobná analýza zabezpečila, že závery boli založené na overených údajoch a že perimetre napadnutých systémov boli vymedzené s najväčšou možnou presnosťou.
