Furto degli account Google con i colloqui di lavoro

Un ricercatore di Team Cymru ha descritto una nuova campagna di phishing che sfrutta noti marchi per inviare email con offerte di lavoro. Per effettuato un colloquio è necessario indicare la data del meeeting virtuale con il responsabile delle risorse umane. Il vero scopo è rubare le credenziali dell’account Google.

Attenzione alle false offerte di lavoro

Il ricercatore non specifica come i cybercriminali hanno ottenuto gli indirizzi email. Quasi certamente sono stati recuperati da LinkedIn o altri social media. Dopo aver raccolto le informazioni necessarie, come nome e occupazione attuale, inviano email ai destinatari tramite PeopleForce, una piattaforma legittima per le risorse umane. Viene inoltre utilizzato un dominio associato al servizio Salesforce Marketing Cloud.

Per incrementare le probabilità di successo sono stati sfruttati nomi e loghi di aziende molto note, tra cui Adidas, American Airlines, Coca-Cola, Adobe, OpenAI e Netflix. Come specificato nel corpo delle email, quasi tutte cercano esperti nel settore del marketing. L’utente deve quindi cliccare su un link per programmare il meeting.

Dopo una serie di reindirizzamenti, che includono anche il dominio del CRM Wise Agent, l’ignara vittima finisce sulla pagina di phishing che mostra il nome e la foto del vero responsabile delle risorse umane dell’azienda. È necessario quindi effettuare l’accesso con un account Google per scegliere giorno e ora del presunto colloquio di lavoro.

Viene aperta una finestra di login che sembra legittima. Invece è stata creata con codice HTML e CSS all’interno della pagina di phishing, quindi non può essere spostata. La tecnica è nota come BitB (Browser-in-the-Browser). Se l’utente inserisce indirizzo email e password, i cybercriminali intercettano le credenziali e prendono il controllo dell’account Google.