Singapurske agencije upozoravaju: lažni regruteri na LinkedIn-u ukrali su 11,8 miliona USD koristeći lažne ponude posla koje su vodile do instalacije malvera i kompromitovanja korporativnih naloga. Napadači su koristili lažirane domene, intervjue bez kamere i lažne testove kodiranja da bi ukrali session tokene i zaobišli MFA. Agencije savetuju proveru regrutera, neizvršavanje neproverenog koda i jačanje zaštite API ključeva i MFA.
Singapur: Lažne LinkedIn kripto ponude koštale 11,8M USD — kako je prevara funkcionisala i kako se zaštititi
Fake LinkedIn Crypto Job Scams Have Cost $11.8M: Singapore
Prevaranti koji su se predstavljali kao regruteri za kompanije iz sveta kriptovaluta ukrali su 11,8 miliona američkih dolara (S$15,1 miliona), koristeći lažne ponude posla kako bi kompromitovali radne okoline svojih žrtava, saopštile su zajednički Singapore Police Force i Cyber Security Agency of Singapore.
Detalji napada
Prema objavljenom upozorenju, napad je počeo porukom na LinkedIn-u: napadači su se predstavljali kao regruteri kripto-firme i potom nastavili komunikaciju putem e‑maila sa lažiranim domenom koji je vrlo ličio na pravu kompanijsku adresu. Intervjui su se održavali preko Google Meet-a, pri čemu su napadači često držali kameru isključenu.
Žrtva bi bila upućena na lažnu veb-stranicu da uradi tehnički test iz kodiranja i to često na uređaju koji joj je izdala kompanija. Tokom preuzimanja zadatka često se instalirao zlonamerni softver koji je uspeo da ukrade session token — niz koji održava već autentifikovanu sesiju. Pošto session token predstavlja već prijavljenog korisnika, njegovo posedovanje omogućava zaobilaženje višefaktorske autentifikacije (MFA) i pristup kompanijskim nalozima, poput Bitbucket-a gde se čuva izvorni kod.
Od pristupa repozitorijuma napadači su menjali softver, dopirali do unutrašnjih servera i prikupljali dodatne kredencijale. Ti podaci su potom korišćeni za zaobilaženje transakcijskih ograničenja i odobrenja, što je rezultovalo prebacivanjem sredstava. U saopštenju nije navedeno koje su firme pogođene, gde su sredstva prebačena niti se napadi direktno pripisuju određenoj grupi. Redakcija Decrypt je pokušala da dobije komentar od LinkedIn-a.
Kontekst i slične operacije
Istraživači već godinama prate slične kampanje: operacija nazvana Contagious Interview usmerava Web3 developere ka zlonamernom kodu, uključujući preko 300 kompromitovanih paketa u npm registru. Grupa poznata kao TraderTraitor koristila je lažne ponude kako bi prodrla u korporativne cloud sisteme, dok je rusko‑govoreći tim Crazy Evil napravio lažnu firmu ChainSeeker.io da bi mamio kandidate da instaliraju malver koji prazni novčanike.
Savet za pojedince
- Verifikujte regrutere kroz zvanične kanale kompanije i proverite e‑mail domene pažljivo.
- Uzmite u obzir kao upozoravajuće ako intervjuer odbija da uključi kameru ili insistira na radu sa neproverenim kodom.
- Nikada ne preuzimajte i ne pokrećite kod iz nepouzdanih izvora, posebno na uređajima koje je izdala kompanija.
Savet za kompanije
- Zaštitite API ključeve i interne kredencijale, primenite strogu kontrolu pristupa i beleženje aktivnosti.
- Ojačajte MFA (npr. upotreba hardware tokena umesto isključivo SMS/a) i pratite nepoznate uređaje i neuobičajene mrežne obrasce.
- Implementirajte pravila za bezbedno okruženje za tehnčke testove (sandboxing, izolacija i zabrana pokretanja neproverenog koda).
Šta uraditi ako sumnjate na kompromitaciju
Agencije savetuju: izolujte pogođene sisteme, poništite aktivne sesije i API ključeve, resetujte kredencijale i detaljno pregledajte pristupne logove kako biste utvrdili obim kompromitacije.
Ovaj slučaj je podsetnik da sofisticirane socijalno‑inženjerske kampanje ciljaju ne samo pojedinačne novčanike već i korporativne sisteme, gde se nalazi veći iznos sredstava. Pažnja prilikom selekcije regrutera i stroža bezbednosna politika unutar kompanija su ključni za smanjenje rizika.
Pomozite nam da budemo bolji.
