Ponudba za zanimivo novo službo je običajno nekaj, česar smo veseli. Prav zato je lahko lažna ponudba za delo zelo učinkovit phishing napad. Napadalec se lahko predstavi kot kadrovnik (rekruter) znanega podjetja, uporabi njegovo ime, logotip in celo ukradeno profilno fotografijo ter vsebino prilagodi podatkom, ki jih najde na LinkedInu.

Takšen napad je še posebej nevaren, ker je sporočilo lahko videti precej bolj prepričljivo kot klasičen phishing. Napadalec namreč ne pošlje generičnega “Congratulations, you won!”, ampak pripravi ponudbo, ki je videti, kot da je bila napisana posebej za nas. Če te kontaktira rekruter z zanimivo ponudbo, še posebej če uporablja Gmail ali drug zasebni e-mail, preveri identiteto pošiljatelja neodvisno od sporočila. Podobno ime, ukradena profilna slika in dobro poznavanje tvojega LinkedIna še niso dokaz, da je ponudba prava.

Zakaj ravno ponudba za delo?

Pri social engineeringu napadalec izkoristi predvsem zaupanje in pričakovanja žrtve. LinkedIn je pri tem odličen vir informacij. Iz javnega profila lahko razbere, kje delamo, kaj smo delali v preteklosti, katera znanja imamo in katere službe bi nas lahko zanimale. Če temu doda še ime resničnega rekruterja in njegovo fotografijo, lahko nastane zelo prepričljiva zgodba. Napadalec lahko nato nadaljuje komunikacijo po e-mailu, WhatsAppu ali drugi platformi in postopoma pridobiva vedno več informacij.

Ko je rekruter skoraj pravi

Eden od opozorilnih znakov je skoraj identično ime. Če se na primer resnični rekruter imenuje: Janez Novak napadalec pa uporabi: Janez Novab je to lahko zelo težko opaziti, še posebej, če uporablja tudi isto profilno fotografijo. To je klasičen primer impersonation phishinga. Napadalec se ne predstavlja kot nekdo neznan, ampak kot konkretna oseba, ki ji žrtev lahko zaupa. Zato ne preverjaj samo prikazanega imena. Vedno preveri dejanski e-mail naslov in domeno.

Gmail ni dokaz prevare – je pa razlog za preverjanje

Če ti rekruter velikega podjetja piše iz Gmaila, to še ne pomeni, da gre zagotovo za prevaro. Lahko obstajajo legitimni razlogi za uporabo zasebnega naslova. Je pa kombinacija: Gmail + skoraj identično ime + enaka profilna fotografija + zelo ciljana ponudba dovolj velik razlog, da se ustavimo in preverimo, kdo je dejansko na drugi strani. Še posebej zato, ker je domeno podjetja relativno enostavno ponarejati v prikazanem imenu, dejanski naslov pa je tisti, ki ga moramo preveriti.

Poglej glave e-maila

Če želiš izvedeti več, ne glej samo vsebine sporočila. V Gmailu lahko odpreš: ⋮ / Prikaži izvirnik / Show original. Tam lahko najdeš podatke o poti sporočila in preverjanje pristnosti. Posebej zanimivi so: SPF, DKIM in DMARC. Ti mehanizmi preverjajo, ali je bilo sporočilo poslano na način, ki je skladen z domeno pošiljatelja. Pomembno pa je: uspešen SPF, DKIM ali DMARC še ne pomeni, da je oseba legitimna. Če napadalec uporablja svoj Gmail račun, je lahko e-mail tehnično popolnoma veljaven. To samo pomeni, da je sporočilo res prišlo iz tega Gmail računa – ne pa, da je račun pripadal pravemu rekruterju. To je zelo pomembna razlika.

Preveri tudi Reply-To

Včasih je zanimiv podatek tudi Reply-To. Pošiljatelj je lahko videti kot ena oseba, odgovori pa se usmerijo na popolnoma drug naslov. Če: From: recruiter@gmail.com in potem Reply-To: completely-different@example.com je to močan razlog za dodatno preverjanje. Tudi tukaj velja: sumljiv Reply-To je opozorilo, ne avtomatičen dokaz prevare.

Preveri rekruterja po drugi poti

To je verjetno najpomembnejši korak. Ne klikaj povezave iz e-maila, da bi preveril osebo. Namesto tega sam odpri LinkedIn ali uradno spletno stran podjetja in poišči rekruterja. Če obstaja, preveri, ali se ujemajo:

• ime,
• fotografija,
• delovno mesto,
• podjetje,
• zgodovina profila,
• objave in aktivnosti.

Še bolje: podjetje kontaktiraj prek uradnega kontakta na njihovi spletni strani in vprašaj, ali je oseba res njihov rekruter in ali je ponudba legitimna. Tako prekineš povezavo z morebitnim napadalcem.

Kaj pa profilna fotografija?

Tudi fotografija ni dokaz identitete. Če je fotografija enaka kot pri resničnem rekruterju, je lahko preprosto kopirana z LinkedIna. Pomaga lahko reverse image search, na primer z Google Lens ali drugim podobnim orodjem. Če se ista fotografija pojavlja na različnih profilih ali spletnih straneh, je to lahko dodaten opozorilni znak.

Največja nevarnost se lahko pojavi šele kasneje

Sam prvi e-mail morda sploh ni nevaren. Napadalec želi najprej vzpostaviti zaupanje. Kasneje lahko pridejo:

• “Prosimo, rešite še kratko testno nalogo.”
• “Prenesite dokument s podrobnostmi delovnega mesta.”
• “Namestite aplikacijo za intervju.”
• “Za izplačilo potrebujemo vaše podatke.”

In tukaj se lahko začne pravi napad. Posebej previdni bodimo pri datotekah .exe, neznanih arhivih, dokumentih z makri in povezavah do prijavnih strani.

Ko ponudba postane predobra

Pri lažnih ponudbah za delo se lahko pojavijo tudi zahteve po denarju. Na primer: plačilo za opremo, registracijo, izobraževanje ali preverjanje identitete. Legitimen delodajalec praviloma ne bo zahteval, da mu najprej nakažemo denar, da lahko začnemo opravljati delo. Podobno velja za zahteve po občutljivih podatkih. Bančnih podatkov, kopije osebnega dokumenta ali drugih občutljivih informacij ni smiselno pošiljati neznanemu kontaktu samo zato, ker se predstavlja kot rekruter.

Social engineering je uspešen predvsem zato, ker je oseben

Najbolj zanimiv del takšnega napada je, da tehnična popolnost sploh ni nujna. Napadalec lahko uporabi brezhiben Gmail račun, pravilno SPF/DKIM konfiguracijo in zelo profesionalno napisano sporočilo. Če pa je račun lažen, je vse skupaj še vedno prevara. Zato pri takšnih napadih ni dovolj preverjati samo tehničnih podatkov. Preveriti moramo tudi identiteto človeka na drugi strani. In to vedno po neodvisni poti.

Moj predlog

Če dobiš nepričakovano ponudbo za delo, ki je skoraj predobra, da bi bila resnična, ni nič narobe, če si vzameš nekaj minut za preverjanje. Ne zaupaj fotografiji. Ne zaupaj prikazanemu imenu. Ne zaupaj povezavi v e-mailu. Preveri dejanski e-mail naslov, glave sporočila, profil rekruterja in predvsem kontaktiraj podjetje po poti, ki jo poiščeš sam. Pri social engineeringu je namreč pogosto najmočnejše orožje napadalca ravno to, da nas prepriča, da nimamo razloga za dvom.

Moja taktika? Malo ga zadržim.

Priznam, da se sam včasih rad zapletem v nekoliko daljši pogovor s takšnimi “rekruterji”. Ne zato, ker bi verjel ponudbi, ampak ker vem, da vsakih dodatnih deset minut, ki jih napadalec porabi z mano, pomeni deset minut manj časa za njegove naslednje tarče. Če ga lahko dovolj dolgo zaposlim, ima morda manj časa za moje prijatelje, starše in druge, ki morda ne bodo tako hitro prepoznali, da nekaj ni v redu. Seveda pa pri tem nikoli ne klikam povezav, ne odpiram sumljivih datotek in ne posredujem osebnih podatkov.