Atraktívne pracovné ponuky môžu otvoriť dvere k novej kariére, ale aj do siete vášho súčasného zamestnávateľa. Za správou od údajného náborára sa totiž môže skrývať premyslený kybernetický útok.
Vyšší plat, zaujímavejšia pozícia, práca na prestížnom projekte či možnosť pracovať zo zahraničia. Pracovné ponuky prirodzene priťahujú pozornosť – najmä ak prídu v správnom čase a pôsobia, akoby boli pripravené presne pre konkrétneho človeka.
Práve to však využívajú kybernetickí útočníci. Vydávajú sa za náborárov, oslovujú zamestnancov na sociálnych sieťach a posielajú im falošné pracovné ponuky. Ich cieľom nemusí byť iba okradnúť uchádzača. Často sa chcú cez jeho zariadenie alebo používateľský účet dostať k údajom súčasného zamestnávateľa.
Prečo pracovné ponuky fungujú ako návnada
Zmena zamestnania je citlivá a osobná téma. Zamestnanec ju spravidla nechce konzultovať s kolegami ani s firemným IT oddelením. Komunikácia preto často prebieha mimo bežných firemných procesov – cez LinkedIn, súkromný e-mail alebo četovacie aplikácie.
Útočníkom to poskytuje ideálny priestor. Ponuku môžu prispôsobiť konkrétnej osobe podľa informácií, ktoré nájdu na internete:
- kde pracuje a akú má pozíciu,
- akým technológiám alebo projektom sa venuje,
- aké má skúsenosti,
- koho sleduje na sociálnych sieťach,
- či si pravdepodobne hľadá nové zamestnanie.
Výsledkom nie je všeobecný podvodný e-mail plný chýb, ale dôveryhodne pôsobiaca komunikácia. Falošný náborár môže mať profesionálny profil, množstvo kontaktov, históriu príspevkov aj fotografiu vytvorenú umelou inteligenciou.
Zostaňte v obraze
a o krok pred útočníkmi.
Prihláste sa na odber nášho newslettra a každý mesiac získajte prehľad o aktuálnych hrozbách aj praktické rady, ako chrániť firmu.
Ako útok cez falošné pracovné ponuky prebieha
Prvý kontakt býva nenápadný. Údajný náborár predstaví pracovnú pozíciu, spomenie známu spoločnosť a ponúkne atraktívne podmienky. Po krátkej komunikácii pošle opis pracovného miesta, formulár, pozvánku na pohovor alebo praktické zadanie.
Nebezpečenstvo sa môže skrývať v rôznych podobách:
- v prílohe vydávajúcej sa za dokument s opisom pozície,
- v odkaze na falošný náborový portál,
- v programe, ktorý si má uchádzač nainštalovať na otvorenie súboru,
- v programátorskom zadaní obsahujúcom škodlivý kód,
- v pokyne na skopírovanie príkazu do terminálu,
- v údajnej oprave nefungujúcej kamery alebo mikrofónu.
Po otvorení súboru alebo spustení projektu môže malvér ukradnúť heslá, prihlasovacie relácie, údaje z prehliadača, obsah kryptomenových peňaženiek či dokumenty uložené v zariadení.
Ak obeť použije pracovný počítač, útočníci môžu získať prístup aj k firemným systémom a informáciám. Z obyčajného rozhovoru o novej práci sa tak stáva bezpečnostný incident súčasného zamestnávateľa.
Umelá inteligencia podvody výrazne zlepšila
Kedysi bolo možné mnohé falošné ponuky odhaliť podľa zlej gramatiky, nekvalitnej profilovej fotografie alebo podozrivo prázdneho účtu. Dnes už tieto znaky nemusia byť prítomné.
Generatívna umelá inteligencia pomáha útočníkom vytvárať presvedčivé profily, životopisy, firemné webové stránky aj prirodzene znejúcu komunikáciu v rôznych jazykoch. Deepfake technológie a výmena tváre v reálnom čase im dokonca umožňujú vystupovať pod falošnou identitou počas videohovoru.
Platí to aj opačne. Falošný nemusí byť iba náborár, ale aj uchádzač. Zločinci sa môžu uchádzať o prácu pod vymyslenou identitou a pokúsiť sa dostať do spoločnosti ako legitímni zamestnanci alebo externí dodávatelia. Organizácia ich tak môže sama vybaviť pracovným zariadením a prístupom k interným systémom.
Miešanie práce a súkromia
Hľadanie nového zamestnania na pracovnom počítači prináša zbytočné riziko. Zamestnanec môže na rovnakom zariadení otvárať firemné dokumenty, pristupovať k interným systémom a zároveň komunikovať s neovereným náborárom.
Nebezpečné je aj používanie súkromného e-mailu na pracovnom zariadení. Takáto komunikácia sa môže vyhnúť ochrane firemnej e-mailovej brány, pričom po otvorení prílohy alebo odkazu je ohrozený počítač pripojený do firemnej siete.
Z pohľadu spoločnosti ide o hrozbu podobnú incidentu spôsobenému človekom zvnútra organizácie. Zamestnanec síce nechce firme uškodiť, ale nevedomky môže útočníkom otvoriť cestu k jej údajom.
Ako bezpečne reagovať na pracovnú ponuku
Aj veľmi atraktívna ponuka si zaslúži základné overenie. Zamestnanci by mali dodržiavať najmä tieto zásady:
1. Oddeľujte pracovné a súkromné aktivity
Pracovné ponuky riešte na súkromnom zariadení, ktoré neobsahuje údaje zamestnávateľa a nie je pripojené do jeho internej siete. Na pracovnom počítači nepoužívajte osobný e-mail ani súkromné cloudové úložiská.
2. Overte si náborára aj ponuku
Skontrolujte, či daná osoba skutočne pracuje pre uvádzanú spoločnosť alebo personálnu agentúru. Vyhľadajte pracovnú pozíciu na oficiálnej stránke firmy a kontaktujte ju cez verejne dostupné kontaktné údaje – nie cez telefónne číslo alebo odkaz, ktorý poslal náborár.
Samotný profesionálne vyzerajúci profil na sociálnej sieti už nie je dostatočným dôkazom dôveryhodnosti.
3. Neotvárajte neočakávané prílohy
Buďte opatrní pri dokumentoch, archívoch, odkazoch na zdieľané úložiská aj súboroch s pracovným zadaním. Zvýšenú pozornosť si zaslúži situácia, keď na vás náborár tlačí alebo tvrdí, že ponuka platí iba veľmi krátko.
4. Neinštalujte program na otvorenie dokumentu
Moderné operačné systémy a internetové prehliadače dokážu súbory PDF otvoriť bez dodatočného softvéru. Ak vás niekto žiada nainštalovať špeciálny prehliadač, doplnok alebo aktualizáciu, je to vážny varovný signál.
5. Nekopírujte neznáme príkazy
Legitímny náborár by od uchádzača nemal požadovať, aby kvôli videopohovoru spúšťal príkazy v termináli alebo menil bezpečnostné nastavenia zariadenia. Údajná oprava kamery či mikrofónu môže v skutočnosti stiahnuť a spustiť malvér.
6. Programátorské úlohy spúšťajte v izolovanom prostredí
Vývojári a externí dodávatelia by nemali neznámy projekt spúšťať priamo na svojom hlavnom počítači. Bezpečnejšie je použiť vývojový kontajner, virtuálny počítač alebo samostatné testovacie prostredie bez prístupu k pracovným a osobným údajom.
Čo môžu urobiť firmy
Technické zabezpečenie je dôležité, samo však nestačí. Organizácie by mali zamestnancov upozorňovať, že cielený phishing nemusí prísť iba do firemnej e-mailovej schránky. Útočníci ich môžu osloviť cez LinkedIn, súkromný e-mail alebo aplikáciu na posielanie správ.
Pomôcť môžu najmä tieto opatrenia:
- viacvrstvová ochrana e-mailu a koncových zariadení,
- kontrola podozrivých príloh v izolovanom cloudovom prostredí,
- obmedzenie používania súkromných e-mailov na pracovných zariadeniach,
- riešenia XDR alebo služby MDR na odhaľovanie neštandardného správania,
- pravidelné školenia založené na realistických situáciách,
- jednoduchý a dôverný spôsob nahlasovania podozrivej komunikácie.
Zamestnanec sa môže zdráhať oznámiť podozrivú ponuku, pretože nechce prezradiť, že uvažuje o zmene práce. Firma by preto mala jasne komunikovať, že bezpečnostný tím nerieši kariérne rozhodnutia zamestnancov, ale možné ohrozenie zariadení a údajov.
Keď je ponuka až príliš dobrá
Falošné pracovné ponuky fungujú preto, že cielia na prirodzené ambície, zvedavosť a túžbu po lepšom uplatnení. Útočníci pritom často nekonajú náhodne – vyberajú si ľudí, ktorí majú prístup k hodnotným informáciám alebo systémom.
Atraktívna ponuka preto nemusí byť automaticky podvod. Mala by však prejsť rovnakým overením ako každá iná neočakávaná komunikácia.
Pracovná ponuka môže zmeniť kariéru. Nemala by však ohroziť súčasného zamestnávateľa.
