Báo động: Chiến dịch lừa đảo tuyển dụng giả mạo 30 thương hiệu lớn cướp tài khoản Google

Hung Pham
8 thg 7
5 phút đọc

Chiến dịch lừa đảo tuyển dụng đang nhắm trực tiếp vào nhân sự Marketing bằng cách mạo danh hơn 30 thương hiệu toàn cầu (Netflix, Adidas, OpenAI). Tin tặc lợi dụng chuỗi chuyển hướng tinh vi qua các nền tảng hợp pháp (Salesforce, PeopleForce) và cửa sổ đăng nhập giả mạo (BitB) để đánh cắp tài khoản Google. Các tổ chức cần áp dụng giải pháp bảo mật email chuyên sâu để chặn đứng mối đe dọa này.

Bạn vừa nhận được email mời phỏng vấn từ OpenAI, Coca-Cola hay Netflix?

Đừng vội mừng! Báo cáo mới nhất cho thấy hơn 30 tập đoàn hàng đầu thế giới đang bị mạo danh trong một chiến dịch lừa đảo tuyển dụng quy mô lớn nhắm trực tiếp vào tài khoản Google của bạn. Nếu bạn vội vàng nhấp vào liên kết đặt lịch, toàn bộ quyền kiểm soát dữ liệu cá nhân và tài nguyên kỹ thuật số của công ty có thể rơi vào tay tin tặc chỉ trong tích tắc.

gia-mao-tuyen-dung-tu-adidas — *Email lừa đảo nhằm đánh cắp mật khẩu Gmail. Nguồn: Sergiu George*

Bài viết này sẽ vạch trần thủ đoạn phishing cực kỳ tinh vi này và hướng dẫn bạn cách bảo vệ hệ thống triệt để.

Chiến dịch lừa đảo tuyển dụng đang giả mạo những thương hiệu và mục tiêu nào?

Chiến dịch này đang nhắm mục tiêu chủ yếu vào các chuyên gia Marketing bằng cách giả danh nhà tuyển dụng từ hơn 30 thương hiệu lớn thuộc nhiều lĩnh vực, từ hàng không, giải khát đến công nghệ và thể thao.

Hàng không và du lịch

American Airlines
Booking. com
Delta Air Lines
United Airlines

Thực phẩm và đồ uống

Coca-Cola
PepsiCo
Red Bull

Thời trang và hàng xa xỉ

Adidas
Louis Vuitton
Sephora
Levi's

Tuyển dụng, tư vấn và công nghệ

Adobe
Aquent
ManpowerGroup
McKinsey & Company
OpenAI

Khách sạn và marketing

Marriott
Omnicom Group

Giải trí và thể thao

FIFA
Netflix

Theo phân tích từ Will Thomas tại Team Cymru, hoạt động độc hại này đã diễn ra ngầm ít nhất 5 tháng qua. Để tạo lòng tin tuyệt đối, kẻ gian đã sử dụng hình ảnh và tên thật của các chuyên viên nhân sự (recruiter) đang làm việc tại chính các công ty bị giả mạo.

*Trang web giả mạo đặt lịch họp, mạo danh Adidas.*

Việc nhắm vào nhân sự Marketing là một chiến lược có chủ đích rõ ràng. Các tài khoản Google của những cá nhân này thường được liên kết với hệ thống quản trị quảng cáo, cơ sở dữ liệu khách hàng và mạng xã hội của doanh nghiệp. Do đó, việc chiếm đoạt thành công một tài khoản Google sẽ tạo ra một bàn đạp hoàn hảo để tin tặc xâm nhập sâu hơn vào hạ tầng kỹ thuật số của tổ chức.

Thủ đoạn lừa đảo qua email và kỹ thuật chuyển hướng ẩn danh hoạt động ra sao?

Kẻ tấn công phát tán các email chứa liên kết đặt lịch phỏng vấn, nhưng thay vì dẫn thẳng đến trang web độc hại, chúng sử dụng chuỗi chuyển hướng nhiều tầng (nested redirects) qua các nền tảng hợp pháp để lách qua các công cụ quét bảo mật.

Cụ thể, khi ứng viên nhấp vào liên kết trong email, họ sẽ bị điều hướng qua hệ thống của PeopleForce (nền tảng nhân sự hợp pháp), đi qua tên miền của Salesforce Marketing Cloud (ExactTarget) và trạm trung chuyển Wise Agent CRM. Việc lạm dụng uy tín của các hệ thống đám mây này giúp các liên kết lừa đảo dễ dàng qua mặt các bộ lọc email truyền thống vốn chỉ đánh giá mức độ tin cậy của liên kết ban đầu. Chỉ sau khi đi hết vòng lặp này, nạn nhân mới bị đẩy đến các tên miền giả mạo được thiết kế tinh chỉnh y hệt trang tuyển dụng gốc (ví dụ: adidas-hiring[.]com).

Kỹ thuật Browser-in-the-Browser (BitB) đánh cắp thông tin đăng nhập Google như thế nào?

Kỹ thuật Browser-in-the-Browser (BitB) là phương thức tạo ra một cửa sổ đăng nhập giả mạo bằng mã HTML và CSS ngay bên trong trang web hiện tại, mô phỏng hoàn hảo giao diện xác thực của Google để đánh lừa thị giác người dùng.

trang-web-google-gia-mao — *Biểu mẫu xác thực Google giả mạo*

Tại trang đích giả mạo, người dùng sẽ được yêu cầu nhấn nút "Continue with Google" (Tiếp tục với Google) để xác nhận lịch phỏng vấn. Thay vì mở ra một cửa sổ trình duyệt thực sự của Google, trang web sẽ hiển thị một pop-up giả mạo có đầy đủ thanh địa chỉ và biểu tượng ổ khóa bảo mật. Dưới áp lực của việc tìm kiếm việc làm, hầu hết nạn nhân đều mất cảnh giác và tiến hành đăng nhập. Toàn bộ email và mật khẩu khi được nhập vào khung giao diện ảo này sẽ ngay lập tức bị gửi thẳng về máy chủ điều khiển của tin tặc.

Góc nhìn chuyên gia IPSIP

Sự kết hợp giữa lừa đảo phi kỹ thuật và việc lợi dụng hạ tầng đám mây hợp pháp đã biến chiến dịch này thành một mối đe dọa dai dẳng đối với giới văn phòng. Dưới đây là chiến lược phòng thủ toàn diện:

1. Giải pháp doanh nghiệp tự thực hiện

Đối với cá nhân và bộ phận IT nội bộ, nguyên tắc sống còn là phải luôn xác minh trực tiếp danh tính nhà tuyển dụng thông qua trang web chính thức (Careers page) của công ty thay vì tin tưởng vào liên kết đính kèm.

Để nhận diện kỹ thuật BitB, hãy thử kéo thả cửa sổ pop-up đăng nhập ra ngoài phạm vi của trình duyệt; nếu nó bị kẹt lại bên trong trang web, đó chắc chắn là giả mạo. Quan trọng nhất, hãy kích hoạt xác thực hai yếu tố (2FA/MFA) cho tài khoản Google để tạo lớp khiên chặn đứng hành vi đăng nhập trái phép dù mật khẩu đã bị lộ.

2. Giải pháp chuyên nghiệp từ IPSIP

Tuy nhiên, việc chỉ trông chờ vào sự tỉnh táo của người dùng cuối là một rủi ro quá lớn đối với doanh nghiệp. Các chuỗi chuyển hướng tinh vi ẩn dưới vỏ bọc Salesforce hay PeopleForce sẽ dễ dàng qua mặt các hệ thống lọc thư rác (spam filter) thông thường.

Để bảo vệ tài nguyên lõi, tổ chức cần thiết lập một màng lọc an ninh mạnh mẽ ngay từ cửa ngõ giao tiếp bằng dịch vụ Bảo vệ tên miền bằng AI của IPSIP.

Chiến dịch lừa đảo tuyển dụng nhắm vào tài khoản Google minh chứng cho sự tiến hóa nguy hiểm của tội phạm mạng khi lợi dụng triệt để lòng tin và các nền tảng kỹ thuật số hợp pháp. Việc nhận thức được các thủ đoạn chuyển hướng hay kỹ thuật đăng nhập ảo BitB là điều cần thiết. Tuy nhiên, đối với cấp độ doanh nghiệp, việc đầu tư vào các giải pháp bảo mật email chuyên dụng chính là chìa khóa duy nhất để giữ an toàn cho cánh cửa bước vào hệ thống hạ tầng dữ liệu của tổ chức.

---------------

Nguồn tham khảo: