สัมภาษณ์งานปลอมคืออะไร และทำไมจึงอันตรายกว่าที่คิด
สัมภาษณ์งานปลอม คือกระบวนการรับสมัครงานที่แฮ็กเกอร์สวมรอยเป็นบริษัทหรือผู้สรรหาบุคลากรที่ดูน่าเชื่อถือ เพื่อล่อลวงผู้สมัครให้ดาวน์โหลดไฟล์ ทดสอบโค้ด หรือโปรแกรมประชุมที่ฝังมัลแวร์การจ้างงาน เป้าหมายคือแอบเข้าควบคุมอุปกรณ์ ขโมยข้อมูล ล้วงรหัสผ่าน และดูดทรัพย์สินดิจิทัลจากเหยื่อและองค์กรที่เกี่ยวข้อง โดยเฉพาะในวงการเทคและคริปโตที่มูลค่าทรัพย์สินสูงและตรวจสอบย้อนกลับยาก
กรณีล่าสุดของกลุ่ม WaterPlum ซึ่งเป็นปฏิบัติการไซเบอร์เกาหลีเหนือ แสดงให้เห็นว่าการสัมภาษณ์งานปลอมไม่ใช่กลโกงรายย่อย แต่เป็นยุทธการระดับรัฐที่มีเป้าหมายชัดเจนในการขโมยคริปโตและสอดแนมระยะยาว พวกเขาติดมัลแวร์ลงในอุปกรณ์มากกว่า 30,000 เครื่องในกว่า 100 ประเทศ และเจาะกระเป๋าเงินคริปโตมากกว่า 7,000 ใบภายในแคมเปญเดียว ความเสียหายนี้ไม่ใช่แค่ตัวเงิน แต่คือความเชื่อมั่นของระบบการจ้างงานดิจิทัลที่ถูกสั่นคลอน
จากประกาศรับสมัครงานสู่ประตูหลังมัลแวร์การจ้างงานของ WaterPlum
กลุ่ม WaterPlum ไม่บุกระบบแบบเดิม แต่เลือกใช้จิตวิทยาและกระบวนการสรรหางานเป็นอาวุธ พวกเขาสวมรอยเป็นผู้สรรหาหรือ HR ของบริษัทด้านปัญญาประดิษฐ์ บล็อกเชน คริปโต และ NFT ที่มีชื่อเสียง ใช้แพลตฟอร์มหางาน โซเชียลมีเดีย และตลาดฟรีแลนซ์เพื่อล่อเป้าหมายซึ่งเป็นนักพัฒนาซอฟต์แวร์ นักออกแบบเว็บ และผู้เชี่ยวชาญ Web3 ทั่วโลก
เมื่อเหยื่อเข้าสู่ขั้นตอนสัมภาษณ์ พวกเขาจะถูกชวนให้เข้าทดสอบเทคนิคหรือทำโจทย์โค้ดในรูปแบบไฟล์ที่ต้องดาวน์โหลด บางครั้งถูกอ้างว่าเป็นแบบทดสอบ บางครั้งเป็นไฟล์แก้บั๊กของโปรแกรมประชุมวิดีโอที่ใช้สัมภาษณ์ เมื่อรันไฟล์ ม้าโทรจันแบบควบคุมระยะไกลและมัลแวร์ขโมยข้อมูลจะถูกติดตั้งทันที "ปฏิบัติการของ WaterPlum สามารถแพร่กระจายเข้าสู่อุปกรณ์อย่างน้อย 30,000 เครื่อง และดูดข้อมูลจากกระเป๋าเงินคริปโตมากกว่า 7,000 ใบ" นี่คือการใช้ขั้นตอน HR เป็นช่องทางเปิดประตูหลังเข้าสู่องค์กรอย่างเป็นระบบ
เป้าหมายที่แท้จริง ไม่ใช่แค่ขโมยคริปโตแต่คือการฝังตัวในองค์กรเทค
หลายคนอาจมองว่า WaterPlum คือแก๊งขโมยคริปโตธรรมดา แต่รายงานจากหน่วยงานความปลอดภัยไซเบอร์หลายประเทศชี้ชัดว่าปฏิบัติการนี้ผูกโยงกับหน่วยงาน 313 ของกรมอุตสาหกรรมยุทโธปกรณ์ของพรรคแรงงานเกาหลีเหนือ ซึ่งดูแลงานวิจัยและการผลิตอาวุธ กล่าวง่ายๆ คือเงินคริปโตที่ถูกขโมยไปเป็นเชื้อเพลิงให้โครงการอาวุธ ขณะที่ข้อมูลและสิทธิ์การเข้าถึงที่ได้มา กลายเป็นช่องทางสอดแนมและบีบคั้นองค์กรในอนาคต
เมื่อมัลแวร์ฝังตัวในเครื่องของนักพัฒนาหรือวิศวกรไอที เครื่องนั้นจะกลายเป็นสะพานเชื่อมเข้าสู่เครือข่ายนายจ้างและลูกค้า ข้อมูลยืนยันตัวตนที่ถูกขโมยสามารถถูกใช้สวมรอยสมัครงานใหม่ ให้แรงงานไอทีจากเกาหลีเหนือเข้าไปฝังตัวในบริษัทต่างชาติอย่างแนบเนียน หน่วยงานที่ออกคำเตือนร่วมระบุว่า ข้อมูลล็อกอินที่ถูกขโมยอาจถูกใช้ดูดทรัพย์สินดิจิทัล ข้อมูลส่วนบุคคล และความลับทางการค้า รวมถึงใช้เป็นเครื่องมือกรรโชกในภายหลัง นี่คือยุทธการส่งสายลับไซเบอร์เข้าองค์กรเทคระดับโลกมากกว่าการปล้นแบบครั้งเดียวแล้วจบ
เสียงเตือนจากหลายชาติ และเหตุผลที่องค์กรเทคต้องเลิกมองว่าเป็นเรื่องไกลตัว
คำเตือนเรื่องไซเบอร์เกาหลีเหนือครั้งนี้ไม่ได้มาจากหน่วยงานเดียว แต่เป็นคำแนะนำด้านความปลอดภัยร่วมที่ออกโดยสำนักงานตำรวจแห่งชาติญี่ปุ่น หน่วยงานความมั่นคงไซเบอร์ของญี่ปุ่น FBI ศูนย์อาชญากรรมไซเบอร์ของกระทรวงกลาโหมสหรัฐ หน่วยงานไซเบอร์ของออสเตรเลีย และหน่วยข่าวกรองเยอรมนี ซึ่งเผยแพร่ผ่านแพลตฟอร์มด้านความปลอดภัยไซเบอร์เมื่อวันที่ 18 กันยายน "แคมเปญความยาวแปดเดือนของ WaterPlum สามารถย้ายเงินหรือข้อมูลเข้าสู่กระเป๋าเงินที่ควบคุมโดยเกาหลีเหนือได้อย่างต่อเนื่อง" นี่คือสัญญาณว่าภัยนี้ถูกใช้งานจริง ไม่ใช่แค่การจำลองสถานการณ์
ผู้กำกับดูแลแนะนำให้องค์กรที่จ้างงานสายเทคบังคับใช้สภาพแวดล้อมแบบแซนด์บ็อกซ์ในกระบวนการให้ผู้สมัครรันโค้ดหรือทดสอบซอฟต์แวร์ เพื่อลดโอกาสที่มัลแวร์การจ้างงานจะหลุดรอดเข้าสู่ระบบหลัก การมองว่าภัยนี้เกี่ยวเฉพาะสายคริปโตคือความประมาท เพราะทุกองค์กรที่พึ่งพานักพัฒนาระยะไกลหรือฟรีแลนซ์ล้วนมีความเสี่ยง ใครที่เปิดประตูรับไฟล์จากผู้สมัครโดยตรงโดยไม่แยกสภาพแวดล้อม กำลังเชิญมัลแวร์เข้ามานั่งในห้องเซิร์ฟเวอร์ของตัวเองอย่างไม่รู้ตัว
คู่มือรอดจากสัมภาษณ์งานปลอมสำหรับคนทำงานเทคและผู้สรรหา
คนทำงานเทคและสายคริปโตต้องถือว่ากระบวนการสัมภาษณ์ออนไลน์คือพื้นที่เสี่ยงสูง ไม่ใช่โหมดปลอดภัยตามอัตโนมัติ ขั้นแรกคือไม่ดาวน์โหลดไฟล์จากผู้สรรหาที่ไม่สามารถยืนยันตัวตนหรือโดเมนบริษัทได้ชัดเจน หากต้องทำโจทย์โค้ด ควรเลือกใช้แพลตฟอร์มออนไลน์ที่เชื่อถือได้แทนไฟล์ที่รันบนเครื่องของตนเอง และไม่ควรติดตั้งแพตช์หรือปลั๊กอินที่ส่งให้เฉพาะกิจระหว่างการสัมภาษณ์ เพราะนั่นคือจุดที่ WaterPlum ใช้ติดตั้งมัลแวร์เข้าสู่เครื่องของเหยื่อ
สำหรับผู้สรรหาและองค์กรเทค จำเป็นต้องตั้งมาตรการความปลอดภัยไซเบอร์ในกระบวนการ HR ให้เข้มเท่ากับฝ่ายไอที เช่น บังคับให้แบบทดสอบการเขียนโค้ดและการแชร์หน้าจอทำผ่านแซนด์บ็อกซ์หรือเครื่องเสมือน ตรวจสอบโดเมน อีเมล และบัญชีโซเชียลที่ใช้สื่อสารกับผู้สมัครอย่างสม่ำเสมอ แยกสิทธิ์การเข้าถึงของผู้สมัครและพนักงานใหม่ออกจากระบบที่เก็บคริปโตหรือข้อมูลสำคัญ และกำหนดนโยบายไม่เก็บกุญแจส่วนตัวของกระเป๋าเงินคริปโตไว้ในเครื่องทำงานหลัก การรอดจากสัมภาษณ์งานปลอมไม่ใช่เรื่องดวง แต่คือวินัยและความระมัดระวังที่ต้องฝึกทุกครั้งก่อนคลิกไฟล์
