Oszuści naśladują procesy rekrutacyjne i rezerwacji terminów, aby fałszywe logowanie przez Google i Facebook wyglądało na rutynowe.
Spis treści
- Strona rekrutacyjna FIFA nie odsyłała do FIFA
- Przynęta rekrutacyjna wykraczała poza FIFA
- Dlaczego fałszywe strony rekrutacyjne działają
- Co osoby poszukujące pracy powinny sprawdzić przed zalogowaniem się
- Co mogą zrobić firmy
- Wnioski
Fałszywa strona z ofertą pracy budzi większe zaufanie niż fałszywy serwis sprzedaży biletów.
W próbkach przeanalizowanych przez badaczy zagrożeń z Gen oszuści wykorzystali markowe strony rekrutacyjne, które wyglądały jak zwykłe procesy rekrutacyjne: logo firmy, profil rekrutera, 30-minutowe spotkanie oraz przycisk umożliwiający kontynuowanie za pomocą konta Google lub Facebooka. Nie było żadnego załącznika do otwarcia ani oprogramowania do zainstalowania. Próba kradzieży danych uwierzytelniających miała miejsce w etapie, którego wielu kandydatów do pracy już się spodziewa: logowaniu w celu umówienia rozmowy.
FIFA jest oczywistą przynętą przed Mistrzostwami Świata w 2026 roku. 22 maja firma ESET zgłosiła fałszywe strony internetowe o tematyce FIFA, które kopiowały procesy sprzedaży biletów i gadżetów w celu kradzieży pieniędzy i danych osobowych. Nasi badacze znaleźli później kolejną domenę o tematyce FIFA, hxxps://fifa-mg[.]shop, która była zgodna ze schematem nazewnictwa nie wspomnianym w tym raporcie. Domeny takie jak te mogą być krótkotrwałe, często pojawiają się na kilka godzin lub dni, zanim zostaną zablokowane, porzucone lub usunięte.
Nasi badacze znaleźli również inny rodzaj przynęty związanej z FIFA: hxxps://fifahiring[.]com, fałszywą stronę rekrutacyjną, która zachęcała użytkowników do umówienia się na rozmowę z rzekomym rekruterem FIFA. Gdy użytkownik próbował zarejestrować się przy użyciu osobistego adresu Gmail, strona prosiła zamiast tego o podanie służbowego adresu e-mail. Strona kierowała ofiary w stronę danych uwierzytelniających o większej wartości: kont, które mogły zapewnić dostęp do środowiska firmowego.
Strona rekrutacyjna FIFA nie odsyłała do FIFA
Fałszywa strona na pierwszy rzut oka wyglądała wiarygodnie.
Wykorzystywała branding FIFA, przedstawiała tożsamość rekrutera i kopiowała elementy doświadczenia, jakie użytkownicy widzą na legalnych platformach rekrutacyjnych i do umawiania spotkań. Imię i nazwisko oraz zdjęcie rekrutera wydawały się pasować do prawdziwego profilu na LinkedIn, co sprawiało, że strona wydawała się bardziej wiarygodna. Ze względu na publikację powinniśmy zachować anonimowość tej osoby.
Domena nie pasowała do prawdziwej infrastruktury rekrutacyjnej FIFA. Prawdziwe strony kariery FIFA to jobs.fifa.com i fifa.pinpointhq.com. Fałszywa strona nie korzystała z żadnej z nich. Ładowała też favikon z prawdziwej strony rekrutacyjnej FIFA hostowanej na pinpointhq.com, co nadawało stronie niewielką wizualną wskazówkę zapożyczoną z legalnej usługi.
Inne sygnały wskazywały na to samo. Domena i certyfikat zostały utworzone niedawno, 23 maja. Witryna korzystała z infrastruktury hostingu komercyjnego, w tym Vercel i Render, a nie ze środowiska korporacyjnego. Te oznaki same w sobie nie wystarczą, ale pasują do pozostałych dowodów.
Najbardziej oczywistą częścią był proces logowania. Dane logowania były wysyłane na adres:
fifeq2026eqbackeq[.]onrender[.]com/api/login
Monit logowania Google nie był prawdziwym oknem uwierzytelniającym Google. Został wyświetlony wewnątrz samej strony. Widoczne elementy sterujące i linki nie działały, a strona nie przekierowywała użytkownika do prawdziwego procesu logowania Google. Według analizy jedynym zasobem Google, który został załadowany, była ikona favicon, najwyraźniej po to, aby fałszywe okno wyglądało znajomo.
Strona może wyglądać tak, jakby otworzyła logowanie Google, nie przekazując jednak kontroli Google.
Badacze zaobserwowali również stronę hxxps://careers-fifahiring[.]com, która później stała się nieaktywna, oraz hxxps://fifajobs[.]com, która wyświetlała tę samą treść i została zindeksowana przez Google.
Przynęta rekrutacyjna wykraczała poza FIFA
Strona FIFA była jedną z wersji szerszego schematu phishingu rekrutacyjnego. Marka może się zmieniać. Schemat pozostaje ten sam: profil rekrutera, zaproszenie na spotkanie, służbowa wiadomość e-mail, fałszywe logowanie.
Badacze znaleźli podobne fałszywe strony rekrutacyjne wykorzystujące inne duże marki, w tym Heineken, Hilton, Coca-Cola, Netflix, PepsiCo, Delta, oraz Spotify. W przypadku Heinekena strona wydawała się wykorzystywać tożsamość osoby, która według LinkedIn naprawdę pracuje jako rekruter w tej firmie.
Dodatkowe poszukiwania pozwoliły znaleźć dwa inne zestawy o tematyce rekrutacyjnej:
hxxps://aquent-talent-jobs[.]com
hxxps://hays-talent-opportunities[.]com
Wersja o tematyce Hays była ukierunkowana na dane logowania do Facebooka zamiast do Google. Badacze ocenili, że strony Aquent i Hays miały wspólny kod, chociaż różniły się od wcześniejszych przykładów związanych z FIFA.
Ta elastyczność sprawia, że trudniej jest uznać tę kampanię za pojedyncze oszustwo związane z mistrzostwami świata. FIFA stanowi aktualny pretekst, ale mechanizm działania opiera się na phishingu rekrutacyjnym. Oszust może zmienić logo, nazwisko rekrutera i dostawcę usług logowania, zachowując jednocześnie tę samą podstawową ścieżkę dostępu do danych logowania ofiary.
Dlaczego fałszywe strony rekrutacyjne działają
Rekrutacja daje atakującym doskonały pretekst do proszenia o rzeczy, które w innym przypadku mogłyby wzbudzić podejrzenia.
Kandydat spodziewa się kliknąć link do umówienia spotkania. Spodziewa się profilu rekrutera. Spodziewa się monitu kalendarza. W niektórych przypadkach może również spodziewać się użycia służbowej poczty e-mail, zwłaszcza w przypadku stanowisk korporacyjnych, dla wykonawców lub partnerów.
Fałszywe okno logowania zamienia ten zwyczajowy przebieg w kradzież danych uwierzytelniających. Użytkownicy są przyzwyczajeni do przycisków „Kontynuuj z Google” i „Kontynuuj z Facebookiem”, ale sam przycisk niczego nie dowodzi. Prawdziwy proces uwierzytelniania powinien przekierować użytkownika do domeny i elementów sterujących dostawcy. Fałszywa strona może zawierać przekonujący tekst, jednocześnie zatrzymując ofiarę w witrynie kontrolowanej przez atakującego.
Monit o podanie służbowego adresu e-mail jest również sygnałem ostrzegawczym. Strona, która odrzuca prywatny adres e-mail i prosi o podanie adresu służbowego, może próbować podnieść wartość skradzionego konta.
Co osoby poszukujące pracy powinny sprawdzić przed zalogowaniem się
Zacznij od oficjalnej strony kariery firmy, a nie od linku w wiadomości, reklamie, wynikach wyszukiwania lub przekazanym poście. W przypadku FIFA oznacza to sprawdzenie stron jobs.fifa.com lub fifa.pinpointhq.com, a nie ufanie domenie tylko dlatego, że zawiera słowa „fifa”, „kariera”, „rekrutacja” lub „praca”.
Przed wprowadzeniem danych logowania przyjrzyj się dokładnie domenie. Strony oszustów często dodają wiarygodne słowa związane z rekrutacją wokół nazwy marki: kariera, talent, praca, rekrutacja, portal lub kontakt. Dopracowana strona na nowej domenie to wciąż nowa domena.
Traktuj etap logowania jako prawdziwy punkt kontrolny. Jeśli strona oferuje logowanie przez Google lub Facebooka, sprawdź, czy proces faktycznie otwiera prawdziwą stronę uwierzytelniającą kontrolowaną przez dostawcę. Fałszywe okno osadzone w oryginalnej witrynie, niedziałające elementy sterujące, nieaktywne linki lub logo dostawcy użyte wyłącznie jako dekoracja powinny zatrzymać proces.
Korzystaj z oprogramowania zabezpieczającego, które obejmuje ochronę przed zagrożeniami internetowymi i phishingiem. Narzędzia te mogą blokować znane złośliwe strony przed ich załadowaniem, co jest szczególnie przydatne, gdy fałszywe domeny wyglądają na dopracowane, pojawiają się w wynikach wyszukiwania lub są udostępniane za pośrednictwem pozornie legalnych kanałów.
Co mogą zrobić firmy
Strony rekrutacyjne są z założenia publiczne, co sprawia, że łatwo je skopiować.
Zespoły ds. bezpieczeństwa powinny monitorować nowo zarejestrowane domeny łączące ich markę z terminami związanymi z rekrutacją. Powinny również zwracać uwagę na strony, które ponownie wykorzystują favikony, zdjęcia rekruterów, opisy stanowisk oraz sformułowania dotyczące rezerwacji terminów z legalnych procesów rekrutacyjnych.
Zespoły HR i rekrutacyjne powinny ułatwić weryfikację oficjalnej ścieżki rekrutacyjnej. Kandydaci nie powinni być zmuszeni do zgadywania, czy dana domena jest legalna. Przejrzysta strona kariery, spójna komunikacja rekruterów oraz ostrzeżenia dotyczące nieoficjalnych linków do rezerwacji terminów mogą wyeliminować część niejasności, na których opierają się atakujący.
Wnioski
Fałszywa strona rekrutacyjna FIFA zadziałała, ponieważ nie wydawała się niczym niezwykłym. Wyglądała jak normalny etap procesu rekrutacyjnego.
Atakujący nie muszą wymyślać nowych zachowań, skoro mogą skopiować te, którym ludzie już ufają. Markowa strona rezerwacji terminów, profil rekrutera i znany przycisk logowania mogą wystarczyć, aby skłonić ofiarę do przejścia od zainteresowania do podania danych uwierzytelniających.
Punktem decyzyjnym jest logowanie. Przed wprowadzeniem służbowego adresu e-mail lub hasła sprawdź domenę, sprawdź, dokąd naprawdę prowadzi proces uwierzytelniania, i zweryfikuj rolę za pośrednictwem oficjalnej strony kariery firmy. Oprogramowanie zabezpieczające z ochroną przed zagrożeniami internetowymi i phishingiem stanowi dodatkową warstwę ochrony, zwłaszcza przed krótkotrwałymi stronami oszukańczymi, które mogą pozostawać online tylko przez kilka godzin lub dni.
Wskaźniki naruszenia bezpieczeństwa (IOC):
hxxps://fifahiring[.]com
hxxps://careers-fifahiring[.]com
hxxps://fifajobs[.]com
hxxps://fifa-mg[.]shop
hxxps://heineken-careers[.]com
hxxps://aquent-talent-jobs[.]com
hxxps://hays-talent-opportunities[.]com
fifeq2026eqbackeq[.]onrender[.]com/api/login
Materiał przygotowany przez CORE - Norton, Avast i AVG w Polsce