Las ofertas de trabajo falsas llevan años circulando como un gancho para cometer ciberestafas, según hemos advertido en reiteradas ocasiones en Escudo Digital reportando casos y ofreciendo consejos para evitar caer en ellas.
Ahora, queremos dar la voz de alarma sobre una nueva oleada de este tipo de fraudes en la que los ciberdelincuentes han renovado sus técnicas, incluyendo la utilización de herramientas legítimas de gestión remota (RMM) con las que consiguen robar datos o dinero, además de instalar malware en los dispositivos de las víctimas. Así lo ha alertado la compañía de ciberseguridad Proofpoint tras identificar múltiples campañas en las que se envían correos electrónicos fraudulentos con invitaciones a entrevistas de trabajo a través de Zoom o Teams para hablar de supuestas oportunidades laborales, pero que en realidad llevan herramientas RMM con fines maliciosos.
Según indica Proofpoint en un comunicado, las tecnologías RMM –como SimpleHelp, ScreenConnect o Atera– son utilizadas de forma legítima en las empresas para que los administradores de TI gestionen de forma remota la red de ordenadores corporativos. Sin embargo, cuando se emplean de forma indebida, adquieren las mismas capacidades que los troyanos de acceso remoto (RAT).
«Las herramientas RMM o de software de acceso remoto (RAS) se han vuelto muy populares como carga de primera fase. En lugar de distribuir RAT o ladrones de información, los ciberdelincuentes emplean estas tecnologías, que se mezclan con el tráfico legítimo», explican los investigadores de amenazas de la firma de ciberseguridad.
En las campañas detectadas, los atacantes suplantan la identidad de diversas entidades, incluidas agencias gubernamentales e instituciones financieras, y se dirigen a sus objetivos de diferentes maneras: creando anuncios de empleo falsos que les sirven para recopilar direcciones de correo electrónico, comprometiendo las bandejas de entrada o las redes sociales de responsables de contratación, o trabajando a partir de una lista de e-mails robados previamente.
En al menos uno de los casos analizados, los ciberdelincuentes hackearon una cuenta de LinkedIn, desde la que publicaron una supuesta vacante de trabajo con la descripción del puesto y la dirección de Gmail de la persona afectada. No obstante, esta se dio cuenta del incidente de seguridad y eliminó la publicación fraudulenta antes de que Proofpoint la detectara.
Recomendaciones
Ante el surgimiento de estas estafas, los expertos de seguridad de Proofpoint instan a aquellos que estén en búsqueda activa de empleo o presenten su solicitud a una oferta a estar atentos a posibles amenazas y a prestar especial atención a los nombres y dominios de los remitentes que se ponen en contacto con ellos, puesto que podrían estar suplantando su identidad. «Y, si les envían un archivo ejecutable o una URL, es probable que estén ante una estafa».
