NordVPN的威胁情报研究部门宣布，他们发现了一起针对求职者的复杂网络钓鱼活动，该活动冒充了一些全球知名公司。攻击者利用Meta（及其子公司，如Facebook和WhatsApp）、迪士尼、可口可乐和Spotify等全球巨头的名称，窃取受害者的Facebook账号信息并劫持其账户。.
调查显示，这是一起多阶段攻击行动。攻击者利用隐藏域名（“枢纽”）、推荐链接激活机制和逼真的招聘广告界面，引导受害者一步步落入精心设计的陷阱。最后一步是将受害者重定向到一个伪造的Facebook登录页面，旨在窃取他们的登录凭证。.
NordVPN产品总监Domininkas Virbickas表示：“求职者尤其容易上当受骗，因为他们已经习惯于分享个人信息并听从陌生人的指示。这些诈骗活动正是利用了这种信任，通过复杂的沟通手段和极具迷惑性的虚假招聘网站，使之与真实的招聘网站几乎无法区分。”
这场营销活动始于一封陌生邮件，通常通过诸如 Google AppSheet 之类的正规服务发送，以绕过垃圾邮件过滤器。这些邮件看起来精心撰写且专业，语法无可挑剔，语气也模仿真实的招聘邮件。联系人名单很可能是通过 LinkedIn 等平台的自动化数据收集，或是来自之前的数据泄露事件。.
邮件中的链接会将受害者引导至一个“HUB”域名（例如careers.meta-findyourjob[.]com）。这些网站内置了规避机制。如果有人（无论是安全分析师还是自动扫描程序）直接访问该域名，他们只会看到一个没有任何交互功能的通用页面。.
因此，恶意内容只有通过钓鱼邮件中嵌入的特定链接访问网站时才会激活。该链接就像一把钥匙，可以解锁原本隐藏的“搜索工作”按钮。.
受害者一旦点击链接，就会被重定向到一个模拟合法招聘网站的中间域名。该界面允许用户浏览来自虚假品牌的看似可信的招聘信息，从而加深他们正在参与真实招聘流程的错觉。.
例如，meta 的 plus.jobfusion-mt[.]com 和 official.professionlaunch-mt[.]com，可口可乐的 careers.coca-contactnow[.]info，Spotify 的 connect.spotifycareerapply[.]com，以及迪士尼的 jobquest.wdcfuturesteps[.]com。.
当受害者点击“申请”或“提交申请”时，陷阱就此形成。他们看到的并非求职申请表，而是被重定向到一个钓鱼页面，该页面要求他们通过Facebook登录才能“继续申请”。这个页面旨在窃取受害者的Facebook账号信息，从而使攻击者能够完全控制该账号，并可能控制与其关联的所有服务。.
此次攻击活动凸显了一个日益增长的趋势：攻击者利用受信任的品牌和专业环境作为武器，绕过受害者天生的警惕性。由于网络钓鱼流程与真实的招聘流程高度相似，即使是谨慎的用户也可能毫无防备。.
NordVPN建议用户在收到任何包含招聘信息的电子邮件时应采取以下三项措施：
- 在输入任何凭据之前，请务必验证网址。正规公司会在其官方域名上托管招聘页面，而不是使用名称不明的第三方网站。社交媒体上的登录请求也同样如此。正规平台上的“使用 Facebook 登录”按钮始终会将您重定向到官方的 facebook.com 域名。如果登录页面托管在未知网址上，则很可能是网络钓鱼攻击。.
- 在所有社交媒体账户上启用多因素身份验证 (MFA)。即使凭证泄露，双因素身份验证 (2FA) 也能阻止攻击者获取访问权限。.
- 永远不要相信通过电子邮件或即时通讯应用收到的主动求职邀请，尤其是那些催促你尽快采取行动的邀请。.
方法论：
调查过程采用了开源情报（OSINT）方法，因此需要通过交叉引用来证实和验证所获得的数据。.
具体而言，我们的数据收集策略的核心在于使用特定的“搜索语法”（高级搜索字符串）对主流通用搜索引擎进行搜索，以及使用专门的搜索引擎对互联网上暴露的域名、网站和设备进行索引。在这些专门工具中，我们广泛使用了物联网 (IoT) 搜索引擎和类似于 Shodan 的服务平台，例如 Fofa.io 和 Shodan.io。这些工具不仅使我们能够识别域名，还能识别暴露的服务和端口，从而发现潜在的漏洞或意外泄露。.
这种分层研究方法的主要目标有两个：
- 为了尽可能全面、完整地了解所涉及的数字实体的格局。.
- 为了准确识别实际已被攻破的域，而不仅仅是识别理论上易受攻击的域。.
这项详细的分析确保了结论是基于经过验证的数据，并且尽可能精确地划定了受损系统的边界。.
