攻撃者が大手企業や採用担当者になりすまし、マーケティング業務に携わる人々を標的にしています。信頼できるサービスやブラウザの表示トリックを悪用し、詐欺を本物らしく見せかけているのです。
この攻撃を詳しく報じたBleepingComputerの記事によれば、Netflix、コカコーラ、Adidas、FIFAといった知名度の高い企業になりすました少なくとも34のドメインが確認されています。
攻撃の糸口となるのは、これらの大手企業を名乗る「採用担当者」からの、偽の面接案内やスケジュール調整依頼です。なりすましサイトにアクセスすると、実際のブラウザウィンドウではなく、ページ内に作り込まれた偽のGoogleサインインのポップアップが表示される仕組みになっています。
検知を回避するため、攻撃者は被害者をフィッシングサイトに到達させる前に、正規サービスを経由する仕組みを組んでいます。つまり、AからDへ直接誘導するのではなく、A→B→C→Dという経路をたどらせるのです。フィッシングにおいてこの手法は、被害者が最初に見た目上正当なサービスを通過することで、最終的な悪意あるサイトの不審さを薄める効果を狙って使われます。
「この攻撃キャンペーンは、正規のクラウドベース人事プラットフォームであるPeopleForceと、Salesforce Marketing Cloudサービスに関連付けられたドメインを悪用し、受信者を悪意あるランディングページへとリダイレクトしています」
BleepingComputerによると、このキャンペーンは少なくとも5か月にわたって展開されており、主にマーケティング職に就く人々を標的にしています。当社自身の過去の調査からも分かる通り、求人を装ったフィッシングは非常に一般的な手口であり、エントリーレベルの求人が激しい競争にさらされ、AIが雇用市場を左右し続ける現状において、とりわけ効果を発揮しやすいと考えられます。
身を守るには
今回のようなキャンペーンは、AIを活用した詐欺が信頼、詐欺、そしてなりすましのあり方をどう作り変えているか、そして攻撃者が信頼をどのように悪用しているかを如実に示しています。
Facebookの認証情報を狙った類似のキャンペーンについて、Stefan Dasic氏は次のように書いています。
「最善の防御策は、偽物を見破ることではありません。正当な採用プロセスであれば、見慣れないページを通じて認証を求められることは決してない、と知っておくことです。それがGoogleを装っていようと、Facebookを装っていようと、他の何かを装っていようと同じです。少しでも怪しいと感じたら、そのタブを閉じ、自分自身で企業の公式サイトにアクセスし、昔ながらの方法で応募してください」
その他にも、以下のような対策が有効です。
- 身に覚えのない求人の勧誘に含まれるリンクをクリックしたり、添付ファイルを開いたりしない
- パスワードマネージャーを使用する。偽サイトではGoogleのユーザー名やパスワードが自動入力されないため、異変に気づきやすくなる
- ウェブ保護機能を備えた、常に最新の状態を保つリアルタイム型のアンチマルウェアソリューションを使用する
豆知識: Malwarebytes Scam Guard を使えば、今回のような攻撃を詐欺と特定できていたはずです。
