FBI: Pas op voor nepvacatures

1 juni 2021 | Blog, kleverig

De FBI heeft in april 2021 een verklaring uitgegeven waarin wordt gewaarschuwd voor cybercriminelen die nepvacatures gebruiken om persoonsgegevens (PII) van sollicitanten te bemachtigen. Tijdens de COVID-19-pandemie werden meer dan 16,000 mensen bij de FBI gemeld als slachtoffers van oplichting via nepvacatures, met een totale schade van meer dan 59 miljoen dollar. Volgens de FBI zijn er in 2021 meer dan 2,000 meldingen binnengekomen.

Hoe is het gedaan?

Hackers adverteren vacatures op dezelfde manier als legitieme werkgevers: online (advertenties, vacaturesites, vacaturesites van onderwijsinstellingen, sociale media), in kranten en soms op tv en radio. Technologie maakt deze oplichting makkelijker en lucratiever dan ooit voor fraudeurs. Ze beloven je een baan, maar wat ze echt willen is je geld en persoonlijke gegevens. Bij deze vormen van werkgelegenheidsfraude laten criminelen slachtoffers geloven dat ze een baan hebben of dat er een baan voor hen in het verschiet ligt. Criminelen misbruiken hun positie als 'werkgever' om slachtoffers over te halen persoonlijke gegevens te verstrekken of geld over te maken.

De oplichters gaan tot het uiterste om uw gegevens te verkrijgen, zelfs door een nep-telefoongesprek af te nemen. Ze voeren nepgesprekken met nietsvermoedende sollicitanten en vragen hen om PII en/of geld. PII kan voor allerlei kwaadaardige doeleinden worden gebruikt, waaronder het overnemen van de rekening van een slachtoffer, het openen van nieuwe financiële rekeningen op hun naam, of het gebruiken van de identiteit van het slachtoffer voor een andere vorm van misleiding (valse rijbewijzen/paspoorten).

Hoe je wordt misleid

Het kan behoorlijk lastig zijn om oplichters te herkennen, maar dit voorbeeld van een LinkedIn-gebruiker die contact opnam met KrebsOnSecurity om de oplichting te verifiëren, kan wellicht helpen:

Maandag nam iemand die beweerde met Gwin samen te werken (een 'recruiter' op LinkedIn) contact op met Siegel en vroeg haar om een online sollicitatiegesprek met Geosyntec in te plannen. Siegel zei dat de 'recruiter' haar een lijst met screeningvragen had gestuurd die allemaal relevant leken voor de vacature.

Siegel zei dat ze binnen een uur nadat ze haar antwoorden had ingediend, een antwoord kreeg waarin stond dat de raad van bestuur haar unaniem had goedgekeurd als nieuwe aanwinst, met een ongelooflijk royaal salaris, zeker gezien het feit dat ze vrijwel niets hoefde te doen om een baan te krijgen die ze vanuit huis kon doen.

Omdat ze bang was dat haar nieuwe droombaan te mooi zou zijn om waar te zijn, stuurde ze de recruiter een lijstje met haar eigen vragen over de functie en de positie ervan binnen het bedrijf.

Maar de recruiter negeerde Siegels vervolgvragen volledig en stuurde in plaats daarvan een antwoord waarin ze haar aanspoorde contact op te nemen met een contactpersoon bij HR om de formalisering van haar dienstverband te starten. Daarbij moest ze uiteraard haar persoonlijke (rijbewijsgegevens) en financiële gegevens overhandigen voor automatische overboeking.

Volgens de FBI vragen de aanvallers om dezelfde informatie als legitieme werkgevers, waardoor het moeilijk is om een wervingsfraude te herkennen voordat het te laat is. Enkele aanwijzingen voor deze fraude zijn onder andere:

Interviews worden niet persoonlijk of via een beveiligde videogesprek afgenomen.
Interviews worden afgenomen via telefonische conferentieprogramma's waarbij gebruik wordt gemaakt van e-mailadressen in plaats van telefoonnummers.
Potentiële werkgevers nemen contact op met slachtoffers via e-maildomeinen die niet van het bedrijf zijn, en via telefonische conferentieprogramma's.
Potentiële werkgevers eisen dat hun werknemers startapparatuur aanschaffen bij het bedrijf.
Potentiële werkgevers eisen dat werknemers vooraf betalen voor antecedentenonderzoeken of screenings.
Potentiële werkgevers vragen om creditcardgegevens.
Potentiële werkgevers sturen een arbeidsovereenkomst om fysiek te ondertekenen en vragen om PII
Vacatures verschijnen op vacaturebanken, maar niet op de websites van de bedrijven.
Recruiters of managers hebben geen profielen op het vacaturebord, of de profielen lijken niet bij hun functie te passen.

Hoe u zichzelf kunt beschermen

Als je op zoek bent naar een baan of een aantrekkelijk aanbod krijgt, is het essentieel om wat onderzoek te doen. CyberHoot en de FBI raden aan om de volgende stappen te ondernemen als je via online sollicitatiegesprekken een baan aangeboden krijgt:

Zoek online naar het bedrijf dat de vacature inhuurt en gebruik daarbij alleen de bedrijfsnaam. Resultaten die meerdere websites voor hetzelfde bedrijf opleveren (abccompany.com en abccompanyllc.com) kunnen wijzen op frauduleuze vacatures.
Legitieme bedrijven vragen om PII en bankrekeninggegevens voor salarisadministratie NADAT ze werknemers hebben aangenomen. Het is veiliger om deze informatie persoonlijk te verstrekken. Als persoonlijk contact niet mogelijk is, kan een videogesprek met de potentiële werkgever de identiteit bevestigen, vooral als het bedrijf een directory heeft waarmee foto's van werknemers kunnen worden vergeleken.
Stuur nooit geld naar iemand die je online hebt ontmoet, vooral niet via een bankoverschrijving.
Geef nooit uw creditcardgegevens aan uw werkgever.
Geef nooit uw bankrekeninggegevens door aan uw werkgever zonder de identiteit van uw werkgever te verifiëren.
Accepteer geen enkele baan waarbij je wordt gevraagd je eigen bankrekening te gebruiken om geld over te maken. Een legitiem bedrijf zal je hier niet om vragen.
Deel nooit uw burgerservicenummer of andere PII die u kunt gebruiken om toegang te krijgen tot uw accounts met iemand die deze informatie niet hoeft te weten.
Controleer voordat u uw PII online invoert of de website veilig is door naar de adresbalk te kijken. Het adres moet beginnen met "https://" niet "https://'.
- Maar: criminelen kunnen ook "https://" gebruiken om slachtoffers een vals gevoel van veiligheid te geven. Een beslissing om door te gaan mag niet uitsluitend gebaseerd zijn op het gebruik van "https://".

Hoewel deze maatregelen u zullen helpen om te voorkomen dat hackers uw gegevens stelen bij werkgelegenheidsfraude, zijn er zeker nog andere maatregelen die u en uw bedrijf moeten nemen om uw gevoelige informatie te beveiligen.

De 7 beste aanbevelingen van CyberHoot voor cybersecurityprogramma's:

Onderneem deze zeven acties om het cyberbeveiligingsprogramma van uw bedrijf te verbeteren:

adopteren two-factor authenticatie om te voorkomen dat een wachtwoord schending van uw bedrijfsbeleid VPN, e-maildiensten en elke andere kritieke dienst die direct via internet toegankelijk is
Adopteer een Password Manager en gebruik wachtwoorden met een lengte van 14+ tekens in uw bedrijf, zowel persoonlijk als professioneel, voor een sterke wachtwoordhygiëne
Train medewerkers maandelijks over diverse cybersecurityonderwerpen, maar met de nadruk op hoe u cybersecurity kunt herkennen en vermijden Phishing aanvallen – de belangrijkste manier waarop cyberaanvallen plaatsvinden
Testmedewerkers met een nep-phishingtest om werknemers te helpen hun training toe te passen op het herkennen en verwijderen van phishing-aanvalsmails
Maak regelmatig een back-up van uw gegevens na de 3-2-1 back-upmethode voor het maken van een back-up van al uw kritieke en gevoelige gegevens
Beheer uw werknemers met een reeks cyberveiligheidsbeleid die de vereisten voor de bescherming van uw meest bedrijfskritische gegevens schetsen
Overweeg een Risicobeoordeling elke 2-3 jaar een controle op de administratieve, technische en fysieke praktijken van uw bedrijf.