Analitycy ESET wykryli nową kampanię cyberprzestępców, którzy podszywają się pod rekruterów Apple. Bazując na prestiżu technologicznego giganta, dążą do przejęcia kont w mediach społecznościowych potencjalnych "kandydatów".
Oszustwo na rekrutera. Pierwsza wiadomość wygląda normalnie
Oferta pracy w Apple ma wyglądać profesjonalnie i nie wzbudzać podejrzeń. Z analizy ESET wynika, że pierwszy e-mail napisano poprawną biznesową angielszczyzną, a jego treść zawiera szczegółowy opis stanowiska. Adresat ma jedynie potwierdzić zainteresowanie udziałem w rekrutacji, odpowiadając na wiadomość.
Ekspert ESET Kamil Sadkowski zwraca uwagę, że właśnie brak typowych sygnałów ostrzegawczych ma uśpić czujność odbiorcy. - Ta pierwsza wiadomość nie zawiera typowych "czerwonych flag", takich jak prośba o kliknięcie w nieznany link czy podanie swoich danych. To świadoma taktyka cyberprzestępców, obliczona na uśpienie czujności odbiorcy i zwiększenie prawdopodobieństwa, że wejdzie on w interakcję z oszustami - mówi Kamil Sadkowski, analityk cyberbezpieczeństwa ESET.
Koniec "zwykłego" Androida. Google zapowiada wielkie zmiany
Jak działa fałszywa rekrutacja Apple
W następnej wiadomości pojawia się link z zachętą do umówienia spotkania. Po jego otwarciu użytkownik trafia na witrynę przypominającą portal kariery i narzędzia używane przez duże firmy do prowadzenia naboru. Każda próba sprawdzenia ofert albo wybrania terminu rozmowy kończy się jednak żądaniem logowania.
Do wyboru jest logowanie przez adres e-mail lub konto na Facebooku, ale obie ścieżki prowadzą do podrobionego panelu Facebooka. Celem nie jest więc rekrutacja, tylko przejęcie danych dostępowych.
- Dla cyberprzestępcy przejęte konto to przede wszystkim nasza tożsamość i zaufanie, na które pracowaliśmy latami. Oszust, pisząc z czyjegoś profilu do rodziny czy współpracowników tej osoby, wykorzystuje wiarygodność, którą daje znajome zdjęcie i nazwisko. W ten sposób przestępcy wyłudzają pieniądze od bliskich lub infekują komputery. Dodatkowo, jeśli dana osoba zarządza stronami firmowymi, oszuści w kilka minut mogą wydać znaczne kwoty z podpiętych kart płatniczych - wyjaśnia Kamil Sadkowski z ESET.
Błąd w wiadomości może zdradzić oszustów
Choć kampania została przygotowana starannie, ESET zauważył element, który pozwala ją rozpoznać. W analizowanym przypadku pierwszy e-mail dotyczył pracy w Apple, ale w kolejnej wiadomości oszuści podziękowali już za zainteresowanie rekrutacją w Meta. Taka niespójność powinna być sygnałem ostrzegawczym.
Ekspert radzi, by zawsze sprawdzać adres nadawcy, porównywać treść kolejnych wiadomości i zwracać uwagę na adres URL strony logowania. Pomocne ma być także oprogramowanie zabezpieczające, które blokuje niebezpieczne witryny.
ESET ocenia tę akcję jako przykład phishingu, czyli próby wyłudzenia poufnych danych. Z danych firmy i Dagma Bezpieczeństwo IT wynika przy tym, że aż 1/3 Polaków pracujących na co dzień przy komputerze deklaruje, że nie rozumie tego pojęcia.
