Целью злоумышленников стали аккаунты рекрутеров, содержащие ценные данные.

Согласно отчету компании Vade, злоумышленники использовали эксплойт, позволяющий прятать фишинговые ссылки в легитимных документах, которые отправляются рекрутерам с правительственных серверов. Атаки проводились с использованием сервиса Pôle Emploi, французской государственной службы, которая помогает безработным гражданам найти работу.

Атака проходит по следующему сценарию:

• Компания-жертва публикует на сайте Pôle Emploi вакансию;

• Хакеры откликаются на вакансию и отправляют рекрутеру PDF-файл с “резюме”, содержащий вредоносную ссылку. К файлу прикреплено сообщение, в котором говорится, что внутри PDF есть ссылка. Это нужно для того, чтобы отвлечь внимание жертвы;

• Рекрутер переходит по ссылке, попадает на фишинговый сайт, внешне напоминающий сайт Pôle Emploi и вводит свои учетные данные, которые попадают в руки хакеров.

Компания-жертва публикует на сайте Pôle Emploi вакансию;

Хакеры откликаются на вакансию и отправляют рекрутеру PDF-файл с “резюме”, содержащий вредоносную ссылку. К файлу прикреплено сообщение, в котором говорится, что внутри PDF есть ссылка. Это нужно для того, чтобы отвлечь внимание жертвы;

Рекрутер переходит по ссылке, попадает на фишинговый сайт, внешне напоминающий сайт Pôle Emploi и вводит свои учетные данные, которые попадают в руки хакеров.

По словам исследователей Vade, эта техника особенно эффективна, поскольку письмо приходит с серверов сервиса, который выступает в роли посредника между соискателем и потенциальным работодателем, генерируя письмо от имени безработного.

Специалисты считают, что доступ к аккаунтам рекрутеров – золотой билет для хакеров, так как с помощью простой фишинговой атаки они получают доступ к всей информации о настоящих соискателях работы и некоторым ценным данным компании.

Источник: securitylab