CTM360 phát hiện chiến dịch phishing tuyển dụng với hơn 3.000 URL
"CTM360 reported a large-scale recruitment-themed phishing campaign, dubbed RecruitTrap, that used Browser-in-the-Browser (BitB) fake login windows to steal Google and Facebook credentials and relay MFA prompts in real time. The campaign involved more than 3,000 phishing URLs over two months, targeted enterprise users across 14 sectors, and relied on shared infrastructure, Cloudflare masking, and AWS-hosted hosts; mitigation includes verifying recruiter outreach, using phishing-resistant authentication, and revoking compromised sessions and tokens."
Nguy cơ đánh cắp tài khoản và vượt MFA ở quy mô lớn; có thể dẫn tới chiếm quyền phiên đăng nhập và truy cập dịch vụ doanh nghiệp.
Có thể ảnh hưởng tới tài khoản quảng cáo, mạng xã hội doanh nghiệp và dữ liệu khách hàng; làm tăng chi phí xử lý sự cố và gián đoạn vận hành.
CTM360 cho biết đã phát hiện chiến dịch phishing quy mô lớn mang tên RecruitTrap, lợi dụng chủ đề tuyển dụng và kỹ thuật Browser-in-the-Browser (BitB) để đánh cắp thông tin đăng nhập Google và Facebook, đồng thời chuyển tiếp yêu cầu MFA theo thời gian thực. Trong vòng 2 tháng, chiến dịch này ghi nhận hơn 3.000 URL phishing, nhắm vào người dùng doanh nghiệp thuộc 14 lĩnh vực; nhóm bị nhắm nhiều nhất là các vị trí marketing.
Kẻ tấn công thường gửi email hoặc lời mời phỏng vấn giả mạo, dẫn nạn nhân tới trang đặt lịch hoặc cổng tuyển dụng giả. Sau đó, trang sẽ hiển thị cửa sổ đăng nhập giả với thanh địa chỉ và biểu tượng khóa được dựng ngay trong trình duyệt, khiến người dùng khó nhận biết. Phân tích cho thấy hạ tầng được dùng chung, có lớp che giấu qua Cloudflare và máy chủ đặt trên AWS.
Khuyến nghị kỹ thuật: xác minh liên hệ tuyển dụng qua kênh độc lập, chỉ đăng nhập tại trang chính thức, ưu tiên passkeys hoặc WebAuthn chống phishing, và nếu đã nhập thông tin thì cần đổi mật khẩu, thu hồi phiên đăng nhập, token và rà soát hoạt động đăng nhập bất thường.