Praca od hakera? Uwaga na fałszywe oferty

Pierwsze miesiące nowego roku to dla wielu osób doskonały moment na decyzje zawodowe i poszukiwanie nowej pracy. Warto jednak zachować czujność i uważnie selekcjonować oferty m.in. na grupach w mediach społecznościowych czy w serwisie LinkedIn, aby nie stać się celem cyberprzestępców. Nowe możliwości dają niestety hakerom także rekrutacje zdalne. Eksperci ds. cyberbezpieczeństwa przestrzegają przed zabiegami wymierzonymi w osoby poszukujące pracy.

Intensywne poszukiwanie wymarzonej pracy sprawia, że kandydaci czasem zbyt szybko i mechanicznie weryfikują oferty oraz komunikaty. Taki brak uważności może niestety wystawić ich na cel cyberprzestępców. Ci z kolei doskonale zdają sobie sprawę, że wśród poszukujących pracy są także osoby młode z mniejszym doświadczeniem oraz bezrobotne, którym zależy na szybkim znalezieniu zatrudnienia. Szukając sposobów, które pozwolą uśpić czujność jak największej liczby kandydatów, cyberprzestępcy konsekwentnie wykorzystują stare, sprawdzone metody. Testują także nowe możliwości, jakie otworzyło przed nimi przeniesienie procesów rekrutacyjnych do sieci w pandemii - podkreślają eksperci ds. cyberbezpieczeństwa ESET.

Ostrożnie na grupach

Popularne komunikatory czy grupy w mediach społecznościowych, np. na Facebooku, mogą dawać użytkownikom złudne poczucie bezpośredniego, prawdziwego kontaktu z potencjalnym pracodawcą. Autentyczni przedsiębiorcy też często wykorzystują ten kanał, np. poszukując osób do pracy sezonowej na grupach lokalnych, czy wsparcia projektowego w wąskich dziedzinach na forach o branżowym profilu. Jednak użytkownicy powinni być bardzo ostrożni - taki pozbawiony formalnego charakteru kontakt jest także doskonałą okazją dla cyberprzestępców.

Grupy i komunikatory to dla cyberprzestępców furtka do przeprowadzania akcji niewymagających z ich perspektywy zbyt wiele zachodu. Nie muszą nawet fabrykować adresów mailowych w fałszywych domenach, przypominających firmowe. Mechanizm takiego ataku opiera się na umiejętności poprowadzenia rozmowy tak, by szybko wzbudzić zaufanie i uśpić czujność użytkowników. Sygnałem ostrzegawczym powinny być przede wszystkim wszelkie prośby o dane osobowe, wykraczające ponad standardową rekrutację. Nikt nie powinien prosić na początku rekrutacji o dokumenty inne niż CV czy list motywacyjny, a już szczególnie np. o skan dowodu osobistego, a i takie przypadki się zdarzają

Kamil Sadkowski,

starszy specjalista ds. cyberbezpieczeństwa ESET

Bezpieczeństwo profesjonalnych rekrutacji

Eksperci zwracają także uwagę, że podejrzenia powinny również wzbudzić niezwykle atrakcyjne oferty pracy od uznanych firm i marek, publikowane w darmowych kanałach, a więc nie tylko na forach i grupach, ale także w bezpłatnych serwisach z ogłoszeniami. Jeśli coś brzmi za dobrze, aby było prawdą - warto uważnie to zweryfikować, np. potwierdzając autentyczność takiej oferty, poprzez kontakt z potencjalnym pracodawcą przy użyciu danych dostępnych na oficjalnej stronie internetowej firmy.

Profesjonalne rekrutacje, zarówno w dużych, jak i mniejszych firmach, opierają się o profesjonalne narzędzia rekrutacyjne. Oznacza to zwykle publikację ogłoszeń na sprawdzonych, płatnych dla pracodawców serwisach rekrutacyjnych. Zależnie od branży są to duże portale horyzontalne lub mniejsze serwisy branżowe, skierowane do wąsko sprofilowanej grupy ekspertów, np. IT. Pracodawcom takie rozwiązanie zapewnia wsparcie i dotarcie do preferowanej grupy kandydatów, a użytkownikom m.in. bezpieczeństwo podczas procesów rekrutacji. Warto zaznaczyć że w naszym przypadku treść ofert jest weryfikowana przez zajmujący się tym dział i potwierdzana z pracodawcami, co pozwala na wyeliminowanie ewentualnych zagrożeń. Jeśli pracodawca działa w innej formule – warto przyjrzeć się takiej ofercie i zastanowić dlaczego. Oczywiście nie należy się bać bezpośredniego kontaktu z rekruterem, ale wszelkie wątpliwości najlepiej weryfikować wtedy z potencjalnym pracodawcą - przy użyciu oficjalnych danych kontaktowych

Paweł Olwert,

product owner z the:protocol, serwisu rekrutacyjnego skierowanego do branży IT

Czerwone flagi na LinkedInie

Czujność zachować należy także na platformie LinkedIn. Wśród ataków wymierzonych w jej użytkowników, jakie przeprowadzali do tej pory cyberprzestępcy, wymienić można m.in. wysyłanie fałszywych powiadomień mailowych, prowadzących na strony logowania podszywające się pod LinkedIn. To działanie mające na celu kradzież danych lub zainfekowanie sprzętu użytkowników złośliwym oprogramowaniem. Można się przed nim ochronić, sprawdzając bezpośrednio w serwisie czy rzeczywiście otrzymaliśmy takie powiadomienie.

Otwartość użytkowników poszukujących pracy, cyberprzestępcy wykorzystują także prowadząc z nimi bezpośrednią korespondencję za pośrednictwem czatu na LinkedIn. Tu podejrzenie powinny wzbudzać wszelkie zbyt dobrze brzmiące oferty i prośby o niestandardowe działanie np. opłatę za szkolenie wdrażające, jakikolwiek „pakiet startowy” czy symboliczne wpłaty „w celu weryfikacji danych osobowych”.

Rekrutacja zdalna - nowe możliwości dla cyberprzestępców?

Pandemia i przeniesienie do internetu nawet tych etapów rekrutacji, które wcześniej rozgrywały się najczęściej w siedzibach firm, przyniosły niestety cyberprzestępcom nowe możliwości, z których nie wahają się korzystać. Użytkownicy chyba teraz bardziej niż kiedykolwiek są skłonni klikać w linki zawarte w mailach rekrutacyjnych. Mają one swoje uzasadnienie kontekstowe - mogą prowadzić to testów, dodatkowych formularzy czy narzędzi video do rekrutacji online. Cyberprzestępcy także nie wahają się korzystać z tego mechanizmu.

Ostrożność należy zachować m.in. zawsze wtedy, gdy oferta pracy, szczególnie niepochodząca z oficjalnej strony pracodawcy czy sprawdzonego serwisu z ofertami, przekierowuje nas na inną stronę, gdzie trzeba uzupełnić formularz z danymi. Oczywiście zdarza się, że autentyczni rekruterzy także tego wymagają. Warto jednak zweryfikować czy takie narzędzie znajduje się w autentycznej domenie przedsiębiorstwa, do którego aplikujemy i czy zabezpieczone jest odpowiednim certyfikatem bezpieczeństwa. Należy też spojrzeć krytycznie na zakres danych, jakie mielibyśmy podać. Pracodawca nie będzie np. nigdy pytał o dane do logowania do serwisów bankowości elektronicznej

Kamil Sadkowski,

starszy specjalista ds. cyberbezpieczeństwa ESET