Nezaměstnáváte hackera? Roste počet podvodů přes pracovní inzeráty

V posledním roce se množí případy, kdy se za uchazeče o práci vydávají podvodníci. Pomocí falešné identity a technologie deepfake se nechají najmout k práci na dálku a získají přístup do firemních sítí a k citlivým datům. Jak zpevnit svůj náborový proces, abyste nenaletěli?

Nedostatek zkušených pracovníků na českém IT trhu i snaha optimalizovat náklady může vést některé náboráře vedle outsourcingu také k najímání zahraničních pracovníků, kteří pro společnost pracují třeba z druhého konce světa.

Strategie to není a priori špatná – řada IT odborníků si od covidu zvykla na větší míru flexibility a možnost práce z domova, takže pokud společnost nabízí práci na dálku, obvykle si tím nábor do IT oddělení výrazně usnadní.

V Česku chybí ve firmách tisíce expertů na kyberbezpečnost. Jak to řešit?

V Česku chybí ve firmách tisíce expertů na kyberbezpečnost. Jak to řešit?

Zobrazit článek

Jenže takový nábor má svá slabá místa. Nedávno to ukázala například rozsáhlá kampaň severokorejské hackerské skupiny. Její vůbec první známou obětí byla softwarová firma KnowBe4. V červenci 2024 informovala veřejnost, že najala IT inženýra, ze kterého se vyklubal hacker. Ten v okamžiku, kdy získal pracovní stanici, začal do počítače nahrávat malware. Administrátorům se ho naštěstí podařilo zastavit dřív, než mohl napáchat větší škody. Po zveřejnění se ale ozvalo dalších 12 organizací s podobnou zkušeností.

Pro nadnárodní korporace, ale i malé a středně velké firmy, které staví svůj byznys od základu digitálně, je už dnes běžné provádět přijímací pohovory online. A právě toho hackeři zneužívají. Vytvoří profily na několika profesních sítích a webech nabízejících práci. A to pod jiným jménem, někdy i s profilovým obrázkem upraveným umělou inteligencí. S podvrženou identitou a pracovními referencemi a s lehkou výpomocí deepfaků pak mají šanci projít přijímacími pohovory v podobě videokonferencí.

Jak takového falešného uchazeče poznat? Varovným signálem může být příliš nekonkrétní a obecný životopis. Nemožnost ověřit si reference. Nebo třeba pokročilé IT znalosti, které neodpovídají pracovním zkušenostem. U pohovoru je kromě deepfake maskování tváře a hlasu nebo neochoty zapnout kameru podezřelá i přílišná snaha získat technické informace o firmě. Pozor se dejte též na ty, kteří trvají na používání vlastního hardwaru nebo mají snahu získat přístupy ještě před nástupem nebo okamžitě po nástupu.

Co můžete udělat, abyste se podobnému útoku vyhnuli?

1) Zaměřte se na posílení náborových procesů

Firmy by měly zavést důkladné ověřovací procesy pro všechny uchazeče o práci – včetně těch, kteří mají pracovat na dálku. To zahrnuje kontrolu referencí, ověřování certifikátů a použití nástrojů k odhalení falešných životopisů. Automatizované systémy pro ověřování identity mohou pomoci odhalit syntetické identity a zabránit hackerům v přístupu k citlivým datům. Pomoct můžou i nástroje na background checking.

2) Nepodceňujte bezpečnostní školení pro zaměstnance

HR týmy a náboráře je třeba školit v rozpoznávání varovných signálů u falešných inzerátů a identit. Školení by mělo zahrnovat přehled o technikách phishingu a sociálního inženýrství a nejnovější metody útoků. Pravidelné vzdělávání pomůže snížit riziko, že zaměstnanci nechtěně poskytnou přístup k firemním systémům.

3) Zaveďte přísnější kontrolu přístupu

Omezení přístupu k citlivým datům minimalizuje škody při případném narušení bezpečnosti. Princip nejnižších oprávnění (least-privilege) zajistí, že zaměstnanci a externí pracovníci mají přístup pouze k nezbytným informacím. Vícefaktorová autentizace (MFA) zase poskytuje další vrstvu ochrany při přihlašování do interních systémů.

4) Monitorujte a provádějte pravidelný audit síťové aktivity

Kontinuální sledování chování uživatelů pomůže odhalit podezřelé aktivity, jako jsou neobvyklé přihlášení nebo nestandardní přesuny dat. Pokročilé bezpečnostní nástroje mohou analyzovat síťový provoz a upozornit na anomálie. Pravidelné penetrační testy pomohou firmám identifikovat slabá místa v jejich obraně.

Nejde jen o falešné zaměstnance

K vylákání informací, jako jsou firemní IP a finanční nebo osobní údaje, využívají hackeři z celého světa i další podobné metody. Včetně toho, že se vydávají za falešného zaměstnavatele a přes podvodné nabídky práce se snaží proniknout do firemních systémů. Atraktivními pozicemi s vysokými mzdami cílí především na IT specialisty, protože ti mají ve svých stávajících organizacích přístup k citlivým datům a infrastruktuře.

Dokážou také vytvořit přesnou kopii webové stránky, která dané organizaci slouží k nějakému specifickému účelu – třeba k faktoringu. Zvládnou ale okopírovat i firemní HR platformy nebo IT outsourcingové služby.

Potenciální zájemce o některou ze služeb, které tyto weby poskytují, pak hackeři přesměrují na phishingovou stránku, přes kterou se snaží zachytit přihlašovací údaje nebo jiné osobní informace. Ty jim pak usnadní nepozorovaný průnik do systémů cílové společnosti.

Největší slabinou firmy jsou vaši zaměstnanci. 6 statistik, které vám otevřou oči

Největší slabinou firmy jsou vaši zaměstnanci. 6 statistik, které vám otevřou oči

Zobrazit článek

Hackeři také často využívají tzv. spear phishing, kdy své oběti nejprve „nastudují“ a pak jim posílají „personalizované“ e-maily, které zdánlivě pocházejí z důvěryhodných zdrojů. Samozřejmě se škodlivými přílohami nebo odkazy, po jejichž otevření získají hackeři přístup do počítače nebo sítě oběti.

Mimochodem, podniky využívající AI pro získávání zákazníků a sběr dat čelí zvýšenému riziku. Nástroje umělé inteligence jsou sice efektivní, ale mohou neúmyslně shromažďovat data z podvodných stránek, čímž se podnik vystavuje kybernetickým útokům. Outsourcing bezpečnostních opatření, jako je posílení IT infrastruktury, detekce anomálií v síti a vícefaktorové autentizace, pomůže tato rizika snížit a zajistit lepší ochranu před sofistikovanými hrozbami. 

Co si z článku odnést?

• Hackeři se vydávají za legitimní uchazeče i zaměstnavatele a přes podvodné nabídky práce se snaží proniknout do firemních systémů.
• Podvodné náborové praktiky jsou stále sofistikovanější – využívají falešné identity, deepfake technologie a profesionálně vypadající profily na LinkedInu.
• Kromě vydávání se za zaměstnance hackeři napodobují i firemní weby, například HR platformy nebo faktoringové služby. Cílem je přesměrovat oběti na phishingové stránky, kde získají přihlašovací údaje nebo distribuují malware.
• Firmy by měly zavést přísnější ověřovací procesy při náboru, pravidelně školit zaměstnance o kybernetických hrozbách a posílit zabezpečení přístupu k citlivým datům.

Kateřina Benešová
Marketingový specialista pro B2B