Kampania phishingowa wykorzystująca fałszywe oferty pracy pod szyldem ponad 30 rozpoznawalnych marek wykrada dane logowania do kont Google należących do specjalistów marketingu. Will Thomas, starszy doradca (senior advisor) w firmie Team Cymru, zidentyfikował co najmniej 34 domeny użyte w tej operacji, która działa nieprzerwanie od minimum pięciu miesięcy.
Na czym polega ta kampania phishingowa i kogo atakuje?
Atak podszywa się pod rekrutację. Ofiara otrzymuje wiadomość od „rekrutera” poszukującego kandydatów na stanowiska marketingowe. Wiadomość zawiera imię i nazwisko odbiorcy oraz odnosi się do jego rzeczywistej branży, co wskazuje na wcześniejsze rozpoznanie sylwetki zawodowej celu, zanim wysłano fałszywą wiadomość.
Na czym polega phishing w tym wydaniu?
W klasycznym ujęciu to próba wyłudzenia danych lub pieniędzy przez podszycie się pod zaufany podmiot. Tutaj rolę zaufanego podmiotu odgrywa jednocześnie znana marka (Adobe, Netflix, Coca-Cola, OpenAI i kilkanaście innych) oraz konkretny, imiennie wskazany rekruter.
Kampania różni się od typowych ataków phishingowych tym, że nie prowadzi ofiary od razu na złośliwą domenę. Wcześniej przepuszcza ją przez kilka legalnych platform SaaS, co utrudnia wykrycie przez standardowe filtry bezpieczeństwa.
Celem operacji są wyłącznie osoby pracujące w marketingu. Ten wybór nie jest przypadkowy. Dział marketingu regularnie nawiązuje kontakt z zewnętrznymi rekruterami, agencjami i partnerami, więc pracownicy tego obszaru mają niższą naturalną czujność wobec wiadomości rekrutacyjnych niż na przykład dział IT czy bezpieczeństwa.
Jak przebiega atak: fałszywa oferta pracy krok po kroku
Wiadomość od „rekrutera” z prawdziwym nazwiskiem i zdjęciem
Atakujący podpisują wiadomości nazwiskiem i zdjęciem prawdziwego rekrutera zatrudnionego w podszywanej firmie, co nadaje fałszywej ofercie pracy wiarygodność trudną do zweryfikowania na pierwszy rzut oka. W jednym z udokumentowanych przypadków fałszywe wiadomości podszywały się pod Paulinę Manzo, rekruterkę Adidas, która publicznie ostrzegła o wykorzystaniu jej tożsamości na LinkedIn. Sama nigdy nie wysłała takiego e-maila.
Łańcuch przekierowań przez cztery platformy o dwóch różnych funkcjach
Zamiast prowadzić ofiarę od razu na złośliwą domenę, atak przepuszcza ją przez cztery kolejne platformy, zanim dotrze do finalnej strony phishingowej. Warto rozróżnić dwie odmienne funkcje, które te platformy pełnią w łańcuchu.
Trzy pierwsze ogniwa służą do ,,pożyczania” zaufania i reputacji domeny. E-mail wysyłany jest z PeopleForce, realnej, chmurowej platformy HR i ATS (Applicant Tracking System). Link prowadzi dalej do exct.net, domeny Salesforce Marketing Cloud działającej pod dawną marką ExactTarget. Z exct.net ruch przekierowywany jest do Wise Agent, chmurowego systemu CRM dla agentów nieruchomości, całkowicie niezwiązanego z rekrutacją. Każda z tych trzech domen ma ugruntowaną reputację i realne zastosowanie biznesowe, dlatego filtry antyspamowe oceniające pierwszy link w wiadomości nie mają powodu, by go zablokować.
Czwartym ogniwem jest sama strona phishingowa, hostowana na Netlify, darmowej platformie do publikowania statycznych stron internetowych, na przykład mckinsey-careers[.]com. Netlify nie pożycza tu reputacji marki tak jak trzy poprzednie platformy. Jego rola jest inna: to szybki, darmowy i łatwy do rotacji hosting, który pozwala atakującym stawiać i wymieniać strony docelowe bez wpływu na wcześniejsze etapy łańcucha e-mailowego. Ta różnica ma znaczenie dla obrońców, bo wymaga dwóch odmiennych typów wykrywania: analizy reputacji domen pośredniczących oraz monitoringu nowo rejestrowanych, tanich stron hostingowych łudząco podobnych do nazwy własnej marki.
Nie wiadomo, jak atakujący zdobyli dostęp do PeopleForce, Salesforce Marketing Cloud i Wise Agent. Mogli założyć konta testowe specjalnie do kampanii albo wykorzystać przejęte dane logowania istniejącego klienta. Żadna z tych ścieżek nie wymaga włamania do infrastruktury samych dostawców usług.
Fałszywe okno logowania Google: technika Browser-in-the-Browser (BitB)
Po dotarciu na finalną stronę phishingową ofiara widzi przycisk „Continue with Google” i przycisk do zaplanowania rozmowy. Kliknięcie otwiera okno łudząco przypominające natywne okno przeglądarki z formularzem logowania Google, łącznie z paskiem adresu URL, ikonami i układem typowym dla prawdziwego okna OAuth. W rzeczywistości to wyłącznie kod HTML i CSS wyrenderowany wewnątrz samej strony phishingowej, a nie odrębne okno systemowe.
Ta technika, znana jako Browser-in-the-Browser, neutralizuje najpopularniejszą radę dawaną pracownikom: sprawdzenie adresu w pasku przeglądarki przed podaniem danych logowania. Skoro pasek adresu też jest częścią fałszywej grafiki, ofiara nie ma prostego sposobu odróżnienia go od prawdziwej strony logowania Google, o ile nie zwróci uwagi na to, że całe okno nie zachowuje się jak niezależny proces systemowy, na przykład nie da się go przesunąć poza granice karty przeglądarki.
Jakie marki i sektory wykorzystano w kampanii
Kampania obejmuje co najmniej 34 domeny podszywające się pod firmy z sześciu różnych branż, co pokazuje, że atakujący nie ograniczyli się do jednego sektora, a budowali infrastrukturę pod szeroki wachlarz potencjalnych ofiar.
- W liniach lotniczych i podróżach podszyto się pod American Airlines, Booking.com, Delta Air Lines i United Airlines.
- W branży spożywczej wykorzystano nazwę Coca-Coli (cztery odrębne domeny, w tym cocacola-hr[.]com i cocacola-careerhub[.]com), PepsiCo i Red Bulla.
- W segmencie odzieży i dóbr luksusowych ofiarami podszycia stały się Adidas, Louis Vuitton, Sephora i Levis.
- W obszarze staffingu, konsultingu i technologii wykorzystano marki Adobe (jobs-adobe[.]com), Aquent, ManpowerGroup, McKinsey & Company i OpenAI (careers-openai[.]com).
- W hotelarstwie i marketingu ucierpiały Marriott i Omnicom Group, a w rozrywce i sporcie FIFA (sześć odrębnych domen) oraz Netflix (jobsatnetflix[.]com).
Skala i rozpiętość sektorowa tej kampanii wskazują na zorganizowaną i dobrze zaplanowaną operację, prowadzoną w sposób ciągły, a nie jednorazowy incydent. To nie musi oznaczać dużego budżetu: rejestracja domeny i postawienie szablonowej podstrony kariery na darmowym hostingu to dziś proces tani i częściowo automatyzowany. Świadczy raczej o konsekwencji operacyjnej i długim horyzoncie działania niż o skali finansowania, którą trudno oszacować na podstawie samej liczby domen.
Dlaczego marketerzy są głównym celem tego ataku
Marketerzy padają ofiarą tej kampanii nie przez przypadek, a dlatego że ich codzienna praca wymaga otwartości na kontakt z nieznanymi wcześniej osobami: agencjami, freelancerami, influencerami, potencjalnymi partnerami biznesowymi i właśnie rekruterami. Ta zawodowa otwartość, która w innych okolicznościach jest zaletą, w kontekście phishingu staje się słabym punktem. Naturalna czujność wobec nieznanego nadawcy jest w tej grupie niższa niż na przykład w dziale IT czy bezpieczeństwa, gdzie kontakt z zewnętrznymi podmiotami podlega ściślejszym procedurom.
Konto Google należące do specjalisty marketingu bywa też bramą do zasobów wykraczających daleko poza samą skrzynkę pocztową. Wiele organizacji korzysta z Google Workspace jako centralnego mechanizmu logowania (SSO) do innych narzędzi, od Google Analytics i Google Ads przez arkusze z danymi kampanii po platformy do zarządzania treścią. Przejęcie jednego konta może więc otworzyć dostęp do budżetów reklamowych, kont social media marki i danych kampanii jednocześnie, a nie tylko do prywatnej korespondencji.
Dodatkowym czynnikiem ryzyka jest to, że marketerzy regularnie klikają linki z zewnętrznych źródeł jako część swojej pracy: śledzą kampanie konkurencji, testują landing page’e, analizują narzędzia marketingowe. To sprawia, że kliknięcie w link od „rekrutera” nie wywołuje takiej samej podejrzliwości, jaką wywołałoby w zespole przyzwyczajonym do ograniczonego, weryfikowanego zestawu kontaktów zewnętrznych.
Jakie ryzyko fałszywe rekrutacje stanowią dla organizacji
Ryzyko operacyjne: eskalacja przez konto Google i SSO
Przejęcie jednego konta Google rzadko kończy się na kradzieży prywatnej korespondencji. W wielu organizacjach to konto działa jako centralny mechanizm logowania do innych systemów, więc jego utrata otwiera drogę do znacznie szerszego incydentu bezpieczeństwa.
Atakujący z dostępem do skrzynki marketera zyskuje wgląd w historię komunikacji z agencjami, dostawcami i wewnętrznymi zespołami, materiał wystarczający do przygotowania kolejnego, jeszcze bardziej wiarygodnego ataku, na przykład w formule Business Email Compromise, gdzie przejęte konto służy do wysyłania fałszywych poleceń płatności lub zmiany danych do przelewu w imieniu prawdziwego pracownika.
Konsekwencją może być też wyciek danych, listy kontaktów czy danych dostępowych do kolejnych narzędzi zapisanych w skrzynce lub w Google Workspace.
Ryzyko reputacyjne: wykorzystanie tożsamości rekruterów i marki
Wykorzystanie nazwiska i zdjęcia prawdziwego rekrutera bez jego wiedzy uderza w wiarygodność firmy, nawet gdy sama organizacja nie ponosi winy za atak.
Paulina Manzo, rekruterka Adidas, musiała publicznie ostrzegać swoją sieć kontaktów na LinkedIn, że nigdy nie wysłała spornej wiadomości. To sytuacja, w którą żaden pracownik nie powinien być stawiany przez działania osób trzecich.
Kandydaci, partnerzy i klienci, którzy zetknęli się z fałszywą ofertą pracy, mogą trwale skojarzyć markę z oszustwem, niezależnie od tego, jak szybko firma zareagowała. Organizacje o rozpoznawalnej nazwie powinny traktować monitoring domen łudząco podobnych do własnej marki jako stały element ochrony reputacji, a nie jednorazową reakcję na zgłoszenie.
Ryzyko regulacyjne: obowiązki zgłoszenia incydentu
Duże organizacje objęte Krajowym Systemem Cyberbezpieczeństwa i unijną dyrektywą NIS2 mają obowiązek zgłaszania istotnych incydentów bezpieczeństwa w określonych terminach. Przejęcie konta Google pracownika, które doprowadziło do wycieku danych klientów, kampanii lub dostępu do kolejnych systemów, może kwalifikować się jako taki incydent, co przesuwa odpowiedzialność za reakcję z działu marketingu prosto na biurko CISO i zarządu.
Jak firmy i pracownicy mogą się chronić
Technika Browser-in-the-Browser
Najskuteczniejszą techniczną odpowiedzią na technikę Browser-in-the-Browser jest uwierzytelnianie odporne na phishing: klucze FIDO2 lub passkeys, które wiążą proces logowania z konkretnym adresem domeny. Nie da się ich przechwycić przez fałszywe okno wyrenderowane w HTML, bo po prostu odmówią zadziałania na stronie, która nie jest prawdziwym Google, niezależnie od tego, jak wiarygodnie wygląda.
To odróżnia je od hasła i klasycznego kodu jednorazowego: nie ma publicznie potwierdzonych dowodów, że ta konkretna kampania przechwytuje i wykorzystuje w czasie rzeczywistym kod SMS lub OTP do zalogowania się na prawdziwe konto, więc zwykłe uwierzytelnianie dwuczynnikowe wciąż stanowi realną barierę wobec prostego przechwycenia hasła.
FIDO2 i passkeys pozostają jednak najsilniejszym zabezpieczeniem, bo eliminują ryzyko podania danych na fałszywej stronie niezależnie od tego, jak dokładnie działa zaplecze atakującego.
Procedura weryfikacji
Drugim filarem ochrony jest procedura weryfikacji rekrutera przez firmowe kanały, zanim pracownik kliknie jakikolwiek link w wiadomości o pracę. Prosta zasada, sprawdzenie profilu rekrutera na stronie firmy lub kontakt przez oficjalny adres, a nie przez link z e-maila, neutralizuje większość wariantów tego ataku, ponieważ atakujący nie mają dostępu do prawdziwych kanałów komunikacji podszywanej organizacji.
Monitoring rejestrowanych domen
Organizacje z rozpoznawalną marką powinny wdrożyć stały monitoring rejestrowanych domen łudząco podobnych do własnej nazwy (typu „-careers”, „-hiring”, „-jobs”) i mieć gotową procedurę zgłaszania takich domen do blokowania fałszywych stron u rejestratorów i w przeglądarkach, zamiast reagować dopiero po zgłoszeniu od pracownika czy kandydata.
Monitoring pełnych łańcuchów przekierowań w linkach
Zespoły IT i bezpieczeństwa powinny dodatkowo analizować pełne łańcuchy przekierowań w linkach zawartych w wiadomościach e-mail, nie tylko pierwszy widoczny adres URL. Ta kampania pokazuje, że filtr oceniający wyłącznie pierwszy hop linku (domenę PeopleForce) przepuści wiadomość, która kilka przekierowań dalej prowadzi na stronę phishingową. Sandboxing linków i pełne śledzenie łańcucha przekierowań w bramie pocztowej wykrywa tę technikę znacznie skuteczniej niż statyczne listy reputacji domen.
Utrwalone procedury postępowania
Jeśli dane logowania zostały już podane na podejrzanej stronie, kluczowe jest tempo reakcji. Pracownik powinien natychmiast zmienić hasło do konta Google, a administrator IT wylogować wszystkie aktywne sesje, sprawdzić reguły przekazywania poczty (mail forwarding) oraz przejrzeć listę aplikacji trzecich połączonych z kontem przez OAuth. Token dostępu do takiej aplikacji może przetrwać samą zmianę hasła, więc bez tego przeglądu atakujący może zachować dostęp nawet po zresetowaniu poświadczeń.
Wysoka świadomość bezpieczeństwa – Praktyczny Trening Antyphishingowy
Najtrwalszym elementem obrony pozostaje przygotowanie ludzi, bo cała ta kampania opiera się na inżynierii społecznej, nie na złośliwym oprogramowaniu ani exploitach technicznych. Testy socjotechniczne pokazują w liczbach, ilu pracowników kliknęłoby w podobną wiadomość, ale sama diagnoza nie buduje odporności – potrzebne jest praktyczne ćwiczenie reakcji na konkretny scenariusz ataku.
Praktyczny Trening Antyphishingowy uczy zespół rozpoznawania sygnałów ostrzegawczych na aktualnych, realnych scenariuszach ataków. W odróżnieniu od jednorazowego szkolenia teoretycznego trening opiera się na cyklicznych symulacjach cyberataków dopasowanych do specyfiki danego działu, co ma szczególne znaczenie w zespołach o naturalnie niższej czujności wobec kontaktu zewnętrznego, jak marketing. Budowanie kultury cyberbezpieczeństwa w takich zespołach wymaga częstszych i bardziej ukierunkowanych ćwiczeń niż standardowe szkolenie roczne obejmujące całą firmę.
Dzięki PTA możesz
- obniżyć klikalność w wiadomości phishingowe nawet poniżej 4% już po roku systematycznego treningu, a pracownicy sami zaczną aktywnie zgłaszać podejrzane wiadomości dzięki dedykowanemu rozszerzeniu do Gmaila i Outlooka,
- odciążyć zespół IT, który nie musi już samodzielnie przygotowywać, prowadzić i analizować kampanii – pełną odpowiedzialność za planowanie, symulacje i raportowanie przejmuje zespół Secawa, a zaangażowanie koordynatora po stronie klienta to maksymalnie ok. 3 godziny miesięcznie,
- przygotować pracowników na realny atak. Scenariusze są dopasowane do charakteru Twojej branży i organizacji oraz do wykorzystywanych systemów w codziennej pracy, a każda wpadka uruchamia natychmiastowe nanoszkolenie dokładnie w momencie, gdy uwaga i zapamiętywanie są najwyższe.
- spełnić wymagania regulacyjne DORA, NIS-2, ISO 27001 i RODO w obszarze edukacji cyberbezpieczeństwa – platforma automatycznie generuje raporty gotowe do audytu lub kontroli, które stanowią dowód należytej staranności.
Organizacje, które chcą sprawdzić, jak ich zespół zareagowałby na wiadomość podobną do opisanej w tym artykule, mogą zacząć od Bezpłatnego Testu Phishingowego – bez kosztów i zobowiązań.
