การสัมภาษณ์ดำเนินไปหลายรอบผ่าน Google Meet โดยอีกฝ่ายไม่เคยเปิดกล้องเลยสักครั้ง นี่คือหนึ่งในรายละเอียดไม่กี่อย่างที่หลงเหลืออยู่ในคดีสแกมที่ตำรวจสิงคโปร์ (Singapore Police Force) และหน่วยงานความมั่นคงไซเบอร์แห่งสิงคโปร์ (Cyber Security Agency of Singapore) เปิดเผยเมื่อวันศุกร์ที่ผ่านมา—และในตอนนั้นเหยื่อก็ไม่ได้คิดอะไรมาก
แถลงการณ์ร่วมของทั้งสองหน่วยงานระบุว่า กลโกงลักษณะนี้ที่แอบอ้างเป็นบริษัทคริปโตเคอร์เรนซีเพื่อรับสมัครงาน สร้างความเสียหายรวมแล้วถึง 11.8 ล้านดอลลาร์ (ราว 15.1 ล้านดอลลาร์สิงคโปร์) จากรายละเอียดของคดี เหยื่อถูกทาบทามครั้งแรกบน LinkedIn โดยผู้ที่อ้างตัวเป็นเฮดฮันเตอร์ของบริษัทคริปโตแห่งหนึ่ง จากนั้นบทสนทนาก็ย้ายไปทางอีเมล โดยโดเมนที่ใช้ส่งถูกออกแบบมาให้เลียนแบบบริษัทจริง ตามมาด้วยการสัมภาษณ์ผ่าน Google Meet หลายรอบ ซึ่งผู้สัมภาษณ์ปิดกล้องตลอดเวลา สุดท้ายเหยื่อถูกนำไปยังเว็บไซต์ปลอมเพื่อทำแบบทดสอบเขียนโปรแกรมเชิงเทคนิค โดยใช้แล็ปท็อปที่บริษัทจัดสรรให้—และในขั้นตอนนี้เองที่มัลแวร์ถูกแอบฝังเข้าไป
ขั้นตอนที่ร้ายแรงที่สุดคือเป้าหมายที่มัลแวร์ตัวนี้เล็งไว้ นั่นคือ session token ซึ่งเป็นสตริงยืนยันตัวตนที่ระบบใช้รักษาสถานะการล็อกอิน ผู้โจมตีอาศัย token นี้แอบอ้างเป็นผู้ใช้ที่ "ล็อกอินเข้าระบบไปแล้ว" อย่างถูกต้อง โดยไม่ต้องใช้รหัสผ่านหรือรหัสยืนยันใดๆ เลย จึงสามารถหลบเลี่ยงระบบการยืนยันตัวตนหลายชั้นและเข้าถึงบัญชี Bitbucket ของเหยื่อได้โดยตรง ซึ่งเป็นที่ที่บริษัทเก็บและจัดการซอร์สโค้ด จากจุดนี้ ผู้โจมตีได้แก้ไขระบบซอฟต์แวร์ของนายจ้าง แทรกซึมเข้าไปในเซิร์ฟเวอร์ภายใน รวบรวมข้อมูลรับรอง (credentials) และสุดท้ายใช้มันเพื่อหลบเลี่ยงวงเงินธุรกรรมและกลไกตรวจสอบ เพื่อโอนเงินออกไป แถลงการณ์ไม่ได้ระบุชื่อบริษัทที่ตกเป็นเหยื่อ ไม่ได้เปิดเผยเส้นทางการเงิน หรือชี้นิ้วกล่าวโทษผู้ใดเป็นการเฉพาะ Decrypt ได้ติดต่อ LinkedIn เพื่อขอความคิดเห็นแล้ว และจะรายงานความคืบหน้าหากได้รับการตอบกลับ
ไม่ใช่แค่เคสเดียว แต่เป็นบทหนึ่งในสูตรสำเร็จ
นักวิจัยได้เฝ้าติดตามปฏิบัติการที่มีชื่อรหัสว่า "Contagious Interview" มาอย่างต่อเนื่อง ซึ่งใช้วิธีการคล้ายคลึงกัน คือเฮดฮันเตอร์ปลอมหลอกล่อนักพัฒนา Web3 ให้ติดตั้งโค้ดอันตราย โดยพบแพ็กเกจที่มีปัญหาถูกอัปโหลดขึ้นคลัง npm มากกว่า 300 รายการ อีกกลุ่มหนึ่งที่ชื่อ TraderTraitor มักใช้ข้อเสนองานปลอมเพื่อเจาะเข้าระบบคลาวด์ขององค์กร แทนที่จะมุ่งเป้าไปที่กระเป๋าเงินส่วนบุคคลโดยตรง—นักวิจัยบางส่วนตีความว่าเป็นเพราะเงินทุนส่วนใหญ่ถูกเก็บไว้ที่นั่น นอกจากนี้ยังมีผู้โจมตีที่แอบอ้างเป็นฝ่ายรับสมัครงานของ Coinbase และ Uniswap เพื่อหลอกล่อเป้าหมายให้รันคำสั่งบางอย่าง
การโจมตีลักษณะนี้ส่วนใหญ่มักถูกโยงไปที่แฮกเกอร์เกาหลีเหนือ แต่รูปแบบนี้ไม่ได้เป็นสิทธิ์เฉพาะของพวกเขาแต่อย่างใด กลุ่มอาชญากรที่พูดภาษารัสเซียอย่าง Crazy Evil ถึงขั้นตั้งบริษัทปลอมขึ้นมาทั้งบริษัทในชื่อ ChainSeeker.io เปิดรับสมัคร "นักวิเคราะห์บล็อกเชน" เพื่อล่อให้ผู้สมัครติดตั้งมัลแวร์ที่จะเจาะเอาเงินในกระเป๋าคริปโตไปจนหมด
คำแนะนำจากสองหน่วยงานของสิงคโปร์ที่มีต่อบุคคลทั่วไปนั้นตรงไปตรงมา นั่นคือให้ตรวจสอบตัวตนของผู้ว่าจ้างผ่านช่องทางที่เป็นทางการ หากผู้สัมภาษณ์ไม่ยอมเปิดกล้องให้ถือเป็นสัญญาณเตือน และห้ามรันโค้ดที่มาจากแหล่งไม่ทราบที่มาเด็ดขาด ส่วนคำแนะนำสำหรับองค์กรคือให้เสริมความแข็งแกร่งในการจัดการ API key และข้อมูลรับรองภายใน (credentials) เพิ่มการยืนยันตัวตนแบบหลายขั้นตอน พร้อมจับตาดูอุปกรณ์แปลกปลอมและความเคลื่อนไหวผิดปกติบนเครือข่าย และหากสงสัยว่าถูกเจาะระบบ ให้รีบแยกระบบที่ได้รับผลกระทบออกทันที ยกเลิก work session ที่ล็อกอินอยู่ เปลี่ยนข้อมูลรับรองใหม่ทั้งหมด และตรวจสอบบันทึกการเข้าถึงระบบ
