کلاهبرداری‌های شغلی جعلی لینکدین در حوزه ارز دیجیتال ۱۱.۸ میلیون دلار هزینه داشت: سنگاپور

کلاهبرداران با جعل هویت استخدام‌کنندگان شرکت‌های ارز دیجیتال، ۱۱.۸ میلیون دلار (۱۵.۱ میلیون دلار سنگاپور) را با استفاده از پیشنهادهای شغلی جعلی برای نفوذ به کارفرمایان قربانیان خود، سرقت کرده‌اند. این خبر بر اساس گزارشی مشترک از سوی نیروی پلیس سنگاپور و آژانس امنیت سایبری سنگاپور منتشر شده است.

جزئیات طرح کلاهبرداری

این آژانس‌ها روز جمعه در بیانیه‌ای که توسط روزنامه‌های The Straits Times و Channel NewsAsia منتشر شد، نحوه عملکرد این کلاهبرداری را تشریح کردند. بر اساس این گزارش، قربانی از طریق لینکدین با فردی که خود را استخدام‌کننده یک شرکت ارز دیجیتال معرفی کرده بود، تماس گرفته است. سپس ارتباط به ایمیل منتقل شده و فرستنده از یک دامنه جعلی که شباهت زیادی به دامنه یک شرکت واقعی داشته، استفاده کرده است. پس از آن، چندین مصاحبه از طریق Google Meet برگزار شده است. مصاحبه‌کننده در تمام طول مصاحبه دوربین خود را خاموش نگه داشته است.

در ادامه، قربانی به یک وب‌سایت جعلی هدایت شده تا یک ارزیابی فنی کدنویسی را تکمیل کند. این ارزیابی با استفاده از دستگاهی که توسط شرکت در اختیار قربانی قرار گرفته بود، انجام شده و در این فرآیند، بدون اطلاع قربانی، نرم‌افزار مخربی دانلود شده است.

این بدافزار یک توکن نشست (session token) را ضبط کرده است؛ رشته‌ای که یک سرویس برای حفظ ورود کاربر صادر می‌کند. از آنجایی که این توکن نشان‌دهنده یک نشست احراز هویت شده است، ارائه آن باعث دور زدن احراز هویت چندعاملی شده و به حساب Bitbucket قربانی، جایی که شرکت کد منبع خود را ذخیره و مدیریت می‌کند، دسترسی یافته است.

آژانس‌ها اعلام کردند که مهاجمان از این طریق سیستم‌های نرم‌افزاری کارفرما را تغییر داده و به سرورهای داخلی آن دسترسی پیدا کرده‌اند. آن‌ها با جمع‌آوری اعتبارنامه‌ها، توانسته‌اند محدودیت‌های تراکنش و بررسی‌های تأیید را دور بزنند و وجوه را منتقل کنند. این گزارش به نام هیچ شرکتی اشاره نکرده، محل انتقال وجوه را مشخص نکرده و حملات را به هیچ گروهی نسبت نداده است. وب‌سایت Decrypt برای دریافت نظر با لینکدین تماس گرفته و در صورت دریافت پاسخ، این مقاله را به‌روزرسانی خواهد کرد.

الگوهای مشابه و گروه‌های دخیل

این الگو به خوبی مستند شده است. پژوهشگران عملیات طولانی‌مدتی را ردیابی کرده‌اند که آن را “مصاحبه مسری” (Contagious Interview) نامیده‌اند. در این عملیات، استخدام‌کنندگان جعلی توسعه‌دهندگان Web3 را به سمت کد مخرب هدایت می‌کنند و بیش از ۳۰۰ بسته نرم‌افزاری آلوده به npm registry آپلود شده است. گروهی که با نام TraderTraitor شناخته می‌شود، از پیشنهادهای شغلی جعلی برای دسترسی به سیستم‌های ابری شرکتی به جای کیف پول‌های فردی استفاده کرده است. یک پژوهشگر دلیل این امر را اینگونه عنوان کرده که پول در آنجا قرار دارد. گروه‌های دیگر نیز با جعل هویت استخدام‌کنندگان Coinbase و Uniswap، قربانیان را وادار به اجرای دستورات کرده‌اند.

این کمپین‌ها به هکرهای کره شمالی نسبت داده شده‌اند، اما این روش منحصر به آن‌ها نیست. گروه روسی Crazy Evil، یک شرکت جعلی Web3 به نام ChainSeeker.io راه‌اندازی کرده و موقعیت‌های شغلی تحلیلگر بلاکچین را تبلیغ کرده تا متقاضیان را به نصب بدافزارهای تخلیه‌کننده کیف پول ترغیب کند.

توصیه‌های امنیتی

آژانس‌های سنگاپور به افراد توصیه می‌کنند که استخدام‌کنندگان را از طریق کانال‌های رسمی تأیید کنند، مصاحبه‌کننده‌ای که دوربین خود را روشن نمی‌کند را به عنوان یک علامت هشدار در نظر بگیرند و هرگز کدی را از منبع تأیید نشده اجرا نکنند. برای شرکت‌ها، این آژانس‌ها توصیه می‌کنند که کلیدهای API و اعتبارنامه‌های داخلی را ایمن کنند، احراز هویت چندعاملی را تقویت کرده و مراقب دستگاه‌های ناآشنا و فعالیت‌های غیرعادی شبکه باشند. در صورت مشکوک شدن به نفوذ، توصیه می‌شود سیستم‌های آسیب‌دیده را ایزوله کرده، نشست‌های فعال را لغو کنند، اعتبارنامه‌ها را بازنشانی کرده و گزارش‌های دسترسی را بررسی کنند.