FBI: Pozor na falešné nabídky práce

1. června 2021 | Blog, Lepkavý

FBI vydala v dubnu 2021 prohlášení, v němž varovala před kyberzločinci , kteří používají falešné nabídky práce k získávání osobních údajů (PII) uchazečů . V době pandemie COVID-19 bylo FBI nahlášeno přes 16 000 lidí, kteří byli podvedeni prostřednictvím falešných nabídek práce, přičemž ztráty dosáhly celkové výše více než 59 milionů dolarů. V roce 2021 bylo podle FBI podáno přes 2 000 hlášení.

Jak se to dělá?

Hackeři inzerují pracovní místa stejným způsobem jako legitimní zaměstnavatelé – online (reklamy, pracovní weby, weby s nabídkami práce pro vysoké školy, sociální média), v novinách a někdy i v televizi a rádiu. Technologie tyto podvody podvodníkům usnadňují a zpříjemňují více než kdy dříve. Slibují vám práci, ale ve skutečnosti chtějí vaše peníze a osobní údaje. K těmto podvodům se jedná, když zločinci oběti oklamou a přesvědčí je, že mají práci nebo ji mají připravenou. Zločinci zneužívají svého postavení „zaměstnavatelů“ k tomu, aby oběti přesvědčili, že jim poskytnou osobní údaje nebo jim pošlou peníze.

Podvodníci udělají maximum, aby získali vaše informace, a dokonce s vámi provedou falešný telefonický pohovor. Provádějí falešné pohovory s nic netušícími uchazeči a požadují od těchto osob osobní údaje a/nebo peníze. Osobní údaje lze použít k řadě škodlivých účelů, včetně převzetí účtu oběti, otevření nových finančních účtů na její jméno nebo použití identity oběti k dalšímu podvodnému jednání (falešné řidičské průkazy/cestovní pasy).

Jak jsi podveden/a

Odhalit podvodníky může být docela obtížné, ale tento příklad uživatele LinkedInu, který se obrátil na KrebsOnSecurity , aby si ověřil podvod, by mohl pomoci:

V pondělí kontaktoval Siegelovou někdo, kdo tvrdil, že pracuje pro Gwin („náborář“) z LinkedInu, a požádal ji o domluvení online pohovoru se společností Geosyntec. Siegelová uvedla, že jí „náborář“ poslal seznam otázek, které se všechny zdály být relevantní pro inzerovanou pozici.

Siegel uvedla, že zhruba do hodiny od odeslání odpovědí obdržela odpověď, v níž stálo, že představenstvo společnosti ji jednomyslně schválilo jako novou zaměstnankyni s neuvěřitelně štědrým platem, vzhledem k tomu, že k práci z domova musela téměř nic dělat.

Z obavy, že by její potenciální nová vysněná práce mohla být až příliš dobrá na to, aby byla pravdivá, poslala náboráři seznam vlastních otázek, které měla ohledně dané pozice a jejího postavení ve společnosti.

Náborář však Siegelové doplňující otázky zcela ignoroval a místo toho jí zaslal odpověď, v níž ji vyzval, aby se spojila s kontaktní osobou v personálním oddělení a zahájila proces formalizace svého zaměstnání. To samozřejmě zahrnuje předání osobních údajů (údaje z řidičského průkazu) a finančních údajů k přímému převodu.

Podle FBI útočníci požadují stejné informace jako legitimní zaměstnavatelé, což ztěžuje identifikaci podvodu s náborem, dokud není příliš pozdě. Mezi některé známky tohoto podvodu může patřit:

Rozhovory neprobíhají osobně ani prostřednictvím zabezpečeného videohovoru.
Rozhovory probíhají prostřednictvím telekonferenčních aplikací, které místo telefonních čísel používají e-mailové adresy.
Potenciální zaměstnavatelé kontaktují oběti prostřednictvím e-mailových domén mimo firemní domény a aplikací pro telekonference.
Potenciální zaměstnavatelé požadují, aby si zaměstnanci od firmy zakoupili počáteční vybavení.
Potenciální zaměstnavatelé požadují, aby zaměstnanci zaplatili předem za prověřování nebo prověrky.
Potenciální zaměstnavatelé požadují informace o kreditní kartě.
Potenciální zaměstnavatelé zasílají pracovní smlouvu k fyzickému podpisu s žádostí o osobní údaje
Nabídky práce se objevují na pracovních portálech, ale ne na webových stránkách firem.
Náboráři nebo manažeři nemají na pracovních portálech profily, nebo se profily zdají být neodpovídající jejich rolím.

Jak se chránit

Pokud hledáte práci nebo pokud obdržíte lákavou nabídku, je nezbytné provést malý průzkum. CyberHoot a FBI doporučují podniknout tyto kroky, pokud obdržíte jakoukoli pracovní nabídku prostřednictvím online pohovorů:

Vyhledejte si na webu firmu, která hledá zaměstnance, pouze podle jejího názvu. Výsledky, které vrátí více webových stránek stejné firmy (abccompany.com a abccompanyllc.com), mohou naznačovat podvodné nabídky práce.
Legitimní společnosti si pro účely výplaty vyžádají osobní údaje a informace o bankovním účtu PO přijetí zaměstnanců. Tyto informace je bezpečnější poskytnout osobně. Pokud osobní kontakt není možný, může totožnost potvrdit videohovor s potenciálním zaměstnavatelem, zejména pokud má společnost adresář, s nímž lze porovnat fotografie zaměstnanců.
Nikdy neposílejte peníze někomu, koho se seznámíte online, zejména ne bankovním převodem.
Nikdy neposkytujte zaměstnavateli informace o kreditní kartě.
Nikdy neposkytujte zaměstnavatelům informace o bankovním účtu bez ověření jejich totožnosti.
Nepřijímejte žádné pracovní nabídky, které po vás žádají, abyste k převodu peněz použili svůj vlastní bankovní účet. Legitimní společnost vás o to požádat nebude.
Nikdy nesdílejte své číslo sociálního zabezpečení ani jiné PII které lze použít k přístupu k vašim účtům u někoho, kdo tyto informace znát nemusí.
Před zadáním osobních údajů online se ujistěte, že je webová stránka zabezpečená, a to pohledem do adresního řádku. Adresa by měla začínat písmeny „https://", ne "https://".
- Zločinci však mohou také použít „https://“ k tomu, aby obětem poskytli falešný pocit bezpečí. Rozhodnutí o pokračování by nemělo být založeno pouze na použití „https://“.

I když vám tyto kroky pomohou zabránit hackerům v krádeži vašich informací v rámci podvodů v oblasti zaměstnání, existují jistě i další kroky, které byste vy a vaše firma měli podniknout, abyste zabezpečili své citlivé informace.

7 nejlepších doporučení pro programy kybernetické bezpečnosti od CyberHootu:

Proveďte těchto sedm kroků ke zlepšení programu kybernetické bezpečnosti vaší společnosti:

Přijmout dvoufaktorová autentizace aby se zabránilo heslo porušení vašeho obchodního práva VPN, e-mailové služby a jakékoli další kritické služby, které jsou přímo přístupné z internetu
Přijměte a Password Manager a zavádějte hesla o délce 14 a více znaků ve vaší firmě, ať už v osobním, nebo profesním životě, pro zajištění silné hygieny hesel.
Školit zaměstnance měsíčně na různá témata kybernetické bezpečnosti, ale se zaměřením na to, jak je rozpoznat a jak se jim vyhnout Phishing útoky – primární způsob, jakým dochází k kybernetickým útokům
Testovací zaměstnanci s testem falešného phishingu, který pomůže zaměstnancům aplikovat jejich školení na odhalování a mazání phishingových e-mailů
Pravidelně zálohujte data po Metoda zálohování 3-2-1 pro zálohování všech vašich důležitých a citlivých dat
Říďte své zaměstnance pomocí souboru zásady kybernetické bezpečnosti které popisují požadavky na ochranu nejdůležitějších firemních dat
Zvažte provedení Hodnocení rizik každé 2–3 roky v souladu s administrativními, technickými a fyzickými postupy vaší společnosti.