FBI: nepvacatures kosten slachtoffers gemiddeld 3.000 dollar
Wie werk zoekt moet oppassen voor nepvacatures, omdat criminelen hiermee grote bedragen en persoonlijke informatie kunnen stelen, aldus de FBI. De Amerikaanse opsporingsdienst waarschuwt werkzoekenden voor nepvactures die criminelen op vacaturesites en nagemaakte bedrijfssites plaatsen.
Zo worden domeinen geregistreerd die op de naam van een legitiem bedrijf lijken. Vervolgens worden er nepvacatures op bekende vacaturesites geplaatst die naar de nepsite wijzen. Werkzoekenden die op de nepvacatures reageren worden via e-mail benaderd en gevraagd om via teleconferentiesoftware een sollicitatiegesprek te voeren. Tijdens deze gesprekken doen de criminelen zich voor als medewerkers van verschillende afdelingen, waardoor slachtoffers denken dat ze met een echt bedrijf te maken hebben.
Na het sollicitatiegesprek krijgen slachtoffers de baan aangeboden. Vaak gaat het om werkzaamheden die vanuit huis kunnen worden gedaan. De criminelen sturen slachtoffers ook een arbeidscontract dat moet worden ondertekend, wat de scam legitiem doet lijken. Niet alleen moeten slachtoffers het arbeidscontract tekenen, ook wordt om identiteitsdocumenten, creditcardgegevens en andere vertrouwelijke informatie gevraagd.
Het komt ook voor dat de criminelen geld vragen voor het zogenaamd uitvoeren van screenings, trainingen, materiaal en andere zaken. Deze uitgaven zouden dan met het eerste salaris worden vergoed. De FBI stelt dat sinds 2019 er tal van mensen op deze manier zijn opgelicht. Gemiddeld verloren slachtoffers 3.000 dollar, zo laat de opsporingsdienst weten. Ook komt het voor dat de verstrekte persoonsgegevens voor identiteitsfraude worden gebruikt.
De FBI geeft werkzoekenden verschillende tips om dergelijke fraude te voorkomen. Zo wordt aangeraden om persoonlijke informatie en bankgegevens alleen in persoon aan iemand te verstrekken. Creditcardgegevens moeten daarnaast nooit worden gegeven. Tevens is het verstandig om voor de sollicitatie op de naam van het bedrijf te zoeken en zo te kijken wat de echte website is.
Reden: aanvallers kunnen van een oneindig aantal variaties gebruik maken voor dat eerste type en daar, zonder enig probleem, een DNS naam voor registreren (en dus er een https-certificaat voor verkrijgen). Als je de DNS records van jouw organisatie goed beveiligd hebt, is het moeilijk voor aanvallers om een record voor een subdomein te maken met een IP-adres dat naar een server onder hun controle wijst.
En dat geldt niet alleen voor een "werken bij" pagina! Men maakt die fout zelfs met mailadressen.
Helaas snappen communicatiemedewerkers van bedrijven dit niet. Ik vrees dat dat ook niet gaat veranderen.
Maargoed het gaat dus om nepbedrijven die nepdingen doen, daarvoor hoeven ze niet direct een echt bedrijf na te doen. Je kan ook heel goed zelf een bedrijf verzinnen, want wie gaat dat allemaal nakijken? Je kan zelfs werkenbij.lijktopechtbedrijf.nl inzetten. Dus een panacea is het niet. Maar het is wel beter een consequent DNS-beleid te voeren dan hap-snap iedere keer een domeintje te registreren. Veel paarse broeken doen dat omdat ze er niets van snappen, dus stuur ze op een cursus beginselen der DNS.
Dat klopt.
Als je ervan uitgaat dat mensen een URL gaan controleren (of uberhaupt weten hoe ze dat zouden moeten doen).
Dat klopt.
Als je ervan uitgaat dat mensen een URL gaan controleren (of uberhaupt weten hoe ze dat zouden moeten doen).
Ik ben behoorlijk klaar met het type excuus-truus dat bij elke verstandige maatregel roept dat deze onzin is omdat er internetters bestaan die zo stom zijn als het achtereind van een varken. Lang niet iedereen is dat namelijk. Praat je soms voor jezelf?
Dat valt onder noodzakelijke basiskennis om zo veilig mogelijk te kunnen internetten.
Ik ben behoorlijk klaar met het type excuus-truus dat bij elke verstandige maatregel roept dat deze onzin is omdat er internetters bestaan die zo stom zijn als het achtereind van een varken. Lang niet iedereen is dat namelijk. Praat je soms voor jezelf?
"Noodzakelijk" / "Basiskennis [...]" / "Zo veilig mogelijk [...]" HOE kan "basiskennis" iets "zo veilig mogelijk" maken?
In plaats van je als een elitaire infosec blaaskaak op te stellen zou je ook kunnen proberen om de minder-bedeelden op infosec gebied te ondersteunen en wat begrip te tonen voor het feit dat die mensen misschien experts zijn op andere gebieden.
De fix is eenvoudig. Gebruik nooit onafhankelijke domeinnamen als werkenbijbedrijf.nl; gebruik in plaats daarvan subdomeinnamen zoals werkenbij.bedrijf.nl.
Als je ervan uitgaat dat mensen een URL gaan controleren (of uberhaupt weten hoe ze dat zouden moeten doen)
Ik ben behoorlijk klaar met het type excuus-truus dat bij elke verstandige maatregel roept dat deze onzin is omdat er internetters bestaan die zo stom zijn als het achtereind van een varken. Lang niet iedereen is dat namelijk. Praat je soms voor jezelf?
"Noodzakelijk" / "Basiskennis [...]" / "Zo veilig mogelijk [...]" HOE kan "basiskennis" iets "zo veilig mogelijk" maken?
Zo niet: dan val je, vroeger of later, ten prooi aan het soort phishing scams zoals vandaag beschreven in deze pagina: https://www.bleepingcomputer.com/news/security/this-citibank-phishing-scam-could-trick-many-people/ (waar je Citi Bank bankrekening -als je die hebt-, ondanks SMS 2FA, gewoon geplunderd wordt als je niet op de domeinnaam let). Maar zie ook het topic artikel van de redactie.
En wat doe jij zoal (naast het anoniem opnemen voor azijnpissers als "herbert28": kan hij dat zelf niet?) om de minder-bedeelden op infosec gebied te ondersteunen, elitaire bemoeizuchtige blaaskaak?
Dat werkt natuurlijk niet...
Stel, bedrijf X implementeert deze fix. Dus, in plaats van werkenbijbedrijfx.nl gebruiken ze voortaan werkenbij.bedrijfx.nl. E-mails gaan uit met vacatures, HR blij, IT blij.
Maar hoe weet een willekeurige ICT-er dat een soortgelijke e-mail die hij binnenkrijgt met een aanbieding voor een geweldige baan, met een linkje naar werkenbijbedrijfx.nl dat dit dat een fake site is? Bedrijf X kan zijn zaakjes wel op orde hebben - niemand kan stellen dat een andere site die zaakjes niet op orde heeft. De fix moet niet van de goede site komen, maar van de slechte...
Sqrt(-1)
Dat werkt natuurlijk niet...
Stel, bedrijf X implementeert deze fix. Dus, in plaats van werkenbijbedrijfx.nl gebruiken ze voortaan werkenbij.bedrijfx.nl. E-mails gaan uit met vacatures, HR blij, IT blij.
Maar hoe weet een willekeurige ICT-er dat een soortgelijke e-mail die hij binnenkrijgt met een aanbieding voor een geweldige baan, met een linkje naar werkenbijbedrijfx.nl dat dit dat een fake site is? Bedrijf X kan zijn zaakjes wel op orde hebben - niemand kan stellen dat een andere site die zaakjes niet op orde heeft. De fix moet niet van de goede site komen, maar van de slechte...
Sqrt(-1)
Indien werkenbijbedrijfx.nl legitiem blijkt en je voor een securityfunctie solliciteert: geef de voorkeur aan bedrijven die dit wel snappen (dus niet https://www.mcl.nl/ met hun portal https://www.mijnmcl.nl/ in plaats van (server not found) https://www.mijn.mcl.nl/ - alhoewel ze daar wel, en niet alleen hierom, een "gespierde" security officer kunnen gebruiken).
Je kunt natuurlijk ook testen of het om een goede werkgever gaat, indien een nitwit HR-medewerker (vaak goed herkenbaar aan alles wat ze op Facebook dumpen) het domein werkenbijbedrijfx.nl heeft geregeld, maar de werkgever open staat voor jouw -terechte- kritiek op deze naïviteit. M.a.w. als men naar jou luistert, is de kans groter dat je bij zo'n club wilt werken; vinden ze het onzin wat je zegt, dan is het de vraag of je daar überhaupt een gelukkige werknemer wordt.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
