Se l’offerta di lavoro arriva via email, non sempre è autentica

Se un’offerta di lavoro pare troppo bella per esser vera… forse, purtroppo, è falsa. Le truffe via email del genere phishing, cioè tese a carpire informazioni preziose (e magari dati di carta di credito o conti correnti) da vittime credulone, ultimamente usano come specchietto per le allodole la proposta di allettanti posizioni lavorative all’interno di aziende note e rispettabili. Aziende che, come avviene spesso nel phishing, sono innocentemente inconsapevoli della truffa realizzata sfruttando il loro nome come “biglietto da visita”.

Casi di questo tipo sono stati osservati nei primi mesi del 2019 dai ricercatori di sicurezza di Kaspersky Lab, le cui attività di analisi sono supportate dai monitoraggi automatici degli honeypot, le “trappole virtuali” della rete della società di cybersicurezza. Un fenomeno segnalato nel report sullo spam e sul phishing del primo trimestre è quello di alcune campagne di email in cui i mittenti si fingevano addetti al recruiting di grandi società (per esempio Goldman Sachs) e invitavano l’utente a registrarsi su un motore di ricerca lavoro per poter essere accedere a un fantomatico “database” di aziende interessante ad assumere. Si chiedeva quindi scaricare un’applicazione da un non meglio specificato “servizio cloud”, azione che faceva comparire una finestra pop-up titolata “DDoS Protection” e contenente un link apparentemente diretto su siti di agenzie di recruiting. Anche in questo passaggio i truffatori hanno scelto nomi noti, come quello di CareerBuilder, ma seguendo il link si giungeva a una pagina Web che scaricava un file e quest’ultimo a sua volta innescava il download di un trojan sul dispositivo della vittima. Il nome assegnato da Kasperky a questo programma malevolo è Trojan-Banker.Win32.Gozi.bqr: si tratta del banking trojan Gozi, uno dei malware più usati per rubare denaro.

Questo particolare schema prevedeva il coinvolgimento sia di realtà di recruiting molto note, sia di stimate aziende: una scelta che ha reso l’intero schema cybercriminale ancora più sofisticato”, ha commentato Morten Lehn, general manager per l’Italia di Kaspersky Lab. “Un utente avrebbe dovuto verificare con grande attenzione la presenza di errori nella barra dell’indirizzo mail per sospettare che l’offerta di lavoro non fosse autentica”.

Nel primo trimestre del 2019, le tecnologie anti-phishing di Kaspersky Lab hanno rilevato e bloccato un numero di tentativi di reindirizzamento verso siti malevoli superiore del 24% rispetto a quello del primo trimestre 2018. Quanto alla distribuzione geografica degli attacchi, il Paese con il maggior numero di utenti colpiti è stato il Brasile (22% del totale), cui seguivano Austria e Spagna (entrambi al 17%). La quota media dello spam nel traffico email mondiale è stata del 56%, cioè il 4% in più rispetto ai livelli di un anno prima.

Come evitare le truffe di spam e phishing
Di fronte a offerte “troppo belle per essere vere” e, in generale, di fronte a messaggi di posta elettronica provenienti da mittenti inusuali o di altre comunicazioni trovate sul Web e cariche di promesse allettanti, è bene adottare alcune misure di sicurezza. Così le elenca Kaspersky Lab:

• Controllare sempre l’indirizzo del sito web a cui si viene reindirizzati, o l’indirizzo del link e la mail del mittente, per assicurarsi che siano effettivamente autentici prima di cliccarci sopra; verificare anche che il testo del link inserito nel messaggio non includa a sua volta un altro hyperlink.

• Non cliccare su link all’interno di email, testi, messaggistica istantanea o post sui social network se provengono da persone di organizzazioni che non conoscete o che hanno indirizzi sospetti o inusuali. Assicurarsi sempre che gli indirizzi siano legittimi e che inizino con la dicitura “https” ogni volta che vengono chieste informazioni di tipo personale o finanziario.

• Non inserire mai dati personali online se non si è del tutto sicuri che il sito web dell’azienda sia autentico.

• Controllare che le posizioni aperte nel sito web dell’azienda combacino davvero con le proprie abilità professionali.

• Fare una chiamata in più all’azienda per essere sicuri che l’offerta di lavoro sia autentica.

• Controllare il testo dell’offerta di lavoro, alla ricerca di possibili errori: verificare attentamente il nome dell’azienda, la qualifica e le capacità professionali richieste.

• Utilizzare una soluzione di sicurezza affidabile per una protezione completa da una vasta gamma di cyberminacce, come Kaspersky Security Cloud.