Pencari kerja kembali menjadi sasaran empuk para penipu. Modus baru memanfaatkan antusiasme kandidat untuk mendapatkan pekerjaan di perusahaan ternama. Kampanye phishing terkini menggunakan undangan wawancara palsu yang menyamar sebagai merek besar seperti Adidas, Netflix, Adobe, dan FIFA.
Tujuannya jelas: mencuri kredensial akun Google pengguna. Penipuan berkedok rekrutmen bukanlah hal baru. Bentuknya beragam, mulai dari tawaran kerja fiktif via SMS hingga formulir aplikasi palsu melalui Google Forms.
Tahun lalu, penipu yang mengatasnamakan Netflix juga pernah melancarkan kampanye email rekrutmen serupa. Pelaku kejahatan siber biasanya mengincar informasi pribadi atau meminta korban mentransfer sejumlah uang untuk berbagai biaya orientasi yang tidak ada.
Modus penipuan wawancara palsu ini dilaporkan menargetkan profesional di bidang pemasaran yang tengah mencari posisi di perusahaan bernilai tinggi. Sektor yang menjadi sasaran mencakup teknologi, perhotelan, pariwisata, makanan, hiburan, dan barang mewah.
Awal mula penipuan ini adalah email phishing dari ‘rekruter’ di lebih dari 34 perusahaan. Email tersebut mengundang kandidat untuk menjadwalkan pertemuan diskusi lebih lanjut. Pelaku bahkan menggunakan nama dan foto rekruter asli dari perusahaan tersebut.
Hal ini bertujuan agar target tidak curiga jika mencoba memverifikasi keaslian tawaran. Jika pencari kerja mengklik tautan kalender rekruter, mereka akan dialihkan berkali-kali. Akhirnya, mereka diarahkan ke situs web berbahaya yang dirancang menyerupai halaman penjadwalan wawancara asli.
Di halaman palsu tersebut, korban akan diminta masuk (sign in) menggunakan akun Google mereka. Ini akan memicu antarmuka login palsu yang sangat mirip dengan pop-up otentikasi Google.
Padahal, itu hanyalah bagian dari halaman phishing itu sendiri. Ini merupakan contoh serangan ‘browser-in-the-browser’ (BitB). Pelaku tampaknya menggunakan platform HR bernama PeopleForce dan domain yang dioperasikan oleh Salesforce untuk melancarkan aksi ini.
Namun, belum jelas apakah mereka membuat akun sendiri atau menggunakan kredensial yang dicuri.
Tanda-tanda penipuan kerja palsu serupa dengan modus lainnya, yaitu memanfaatkan emosi. Antusiasme mendapatkan posisi idaman di pasar kerja yang kompetitif menjadi celah.
Jika Anda menerima pesan tak diminta dari rekruter, baik via email, LinkedIn, atau media sosial lainnya, berhati-hatilah. Terutama jika Anda tidak pernah melamar pekerjaan tersebut, atau tawaran terdengar terlalu bagus untuk menjadi kenyataan.
Untuk memastikan, kunjungi langsung halaman karier resmi perusahaan. Jangan percaya begitu saja pada tautan kalender atau aplikasi yang tampak sah.
Pelaku kejahatan siber memiliki banyak cara untuk memalsukan URL atau mengalihkan lalu lintas. Perhatikan baik-baik bilah alamat pada jendela terakhir untuk mencari karakter mencurigakan atau trik URL lainnya.
Jika Anda diminta memasukkan kredensial ‘single sign-on’ (seperti Apple, Google, atau Facebook) untuk menjadwalkan wawancara atau mengisi aplikasi, ini adalah tanda bahaya besar.
Cobalah berinteraksi dengan pop-up tersebut. Misalnya, coba seret keluar dari jendela browser utama atau sorot URL-nya. Jika tidak bisa, kemungkinan besar itu palsu.
Manajer kata sandi juga dapat melindungi Anda dari serangan BitB. Alat ini tidak akan mengisi kredensial kecuali pada domain yang sah.
