podszywanie się pod dział HR

Podszywanie się pod dział HR to atak wykorzystujący wiadomości o wynagrodzeniach lub dokumentach kadrowych.

Jak działa podszywanie się pod dział HR

Podszywanie się pod dział HR jest odmianą socjotechnicznego phishingu, w której napastnik udaje pracownika kadr, płac albo przełożonego. Wiadomość może dotyczyć korekty wynagrodzenia, aneksu do umowy, deklaracji podatkowej, grafiku, świadczeń pracowniczych lub pilnego podpisania dokumentu. Celem nie jest zwykle samo przekazanie informacji, lecz nakłonienie odbiorcy do wykonania czynności korzystnej dla atakującego: kliknięcia odnośnika, otwarcia załącznika, podania hasła, zatwierdzenia logowania albo wysłania danych na wskazany rachunek.

Atakujący może wykorzystać adres łudząco podobny do firmowego, fałszywą nazwę nadawcy wyświetlaną w programie pocztowym albo przejęte konto prawdziwego pracownika. W wiadomości często pojawia się presja czasu, informacja o poufności oraz groźba konsekwencji związanych z wypłatą lub dokumentacją kadrową. Sam wygląd logo, stopki i formatowania nie potwierdza autentyczności korespondencji, ponieważ takie elementy można łatwo skopiować. Istotne są rzeczywisty adres nadawcy, domena odnośnika, sposób przekazania załącznika i zgodność prośby z normalną procedurą firmy.

Fałszywe dokumenty, linki logowania i załączniki

Wiadomość może zawierać odnośnik prowadzący do strony imitującej Microsoft 365, Google Workspace, firmowy intranet albo system kadrowy. Strona phishingowa może wyświetlać formularz logowania, a wpisane dane są przesyłane do napastnika. Niekiedy następuje przekierowanie do prawdziwej witryny, aby użytkownik nie zauważył problemu. Przed kliknięciem warto sprawdzić pełny adres odnośnika, a po otwarciu strony także domenę widoczną w pasku przeglądarki. Szyfrowanie HTTPS oznaczone kłódką potwierdza ochronę połączenia, ale nie potwierdza, że witryna należy do pracodawcy.

Załącznik może być dokumentem PDF, plikiem pakietu biurowego, archiwum ZIP albo plikiem wykonywalnym ukrytym pod nazwą sugerującą formularz kadrowy. Dokument może prosić o włączenie makr lub zawartości aktywnej, a archiwum może zawierać skrypt albo program pobierający złośliwe oprogramowanie. Typ pliku należy oceniać na podstawie rzeczywistego rozszerzenia, nie samej ikony ani nazwy wyświetlanej przez Eksplorator plików. W systemie Windows rozszerzenia znanych typów plików bywają ukryte, dlatego warto włączyć ich wyświetlanie w opcjach folderów. Nie należy uruchamiać podejrzanego załącznika w celu sprawdzenia, co zawiera.

Ślady techniczne pomocne przy weryfikacji wiadomości

Programy pocztowe pozwalają wyświetlić szczegóły wiadomości, w tym nagłówki techniczne. Pola From, Reply-To i Return-Path mogą wskazywać różne adresy, co jest sygnałem wymagającym dodatkowej kontroli. Weryfikacja SPF sprawdza, czy serwer wysyłający jest uprawniony do używania domeny nadawcy, DKIM pozwala sprawdzić podpis kryptograficzny wiadomości, a DMARC określa sposób postępowania z wiadomościami, które nie przejdą kontroli zgodności domeny. Obecność poprawnego wyniku tych mechanizmów nie oznacza jednak, że treść jest bezpieczna, ponieważ legalne konto lub legalny serwer również może zostać wykorzystany do oszustwa.

Niepokój powinny wzbudzić literówki w nazwie domeny, adresy wykorzystujące podobnie wyglądające znaki, skracacze odnośników, niespodziewane żądanie zmiany rachunku oraz prośba o przekazanie hasła poza firmowym systemem. Autentyczność można sprawdzić niezależnym kanałem: należy skontaktować się z działem HR przez numer telefonu, komunikator lub adres zapisany wcześniej w firmowej książce kontaktów. Nie powinno się używać numeru ani odnośnika podanego w podejrzanej wiadomości. Jeżeli użytkownik kliknął link i wpisał hasło, powinien niezwłocznie zmienić je na prawdziwej stronie, wylogować aktywne sesje, zgłosić zdarzenie administratorowi oraz sprawdzić, czy nie dodano nieznanych reguł przekierowywania poczty.

Bezpieczna reakcja na wiadomość podszywającą się pod HR

Najbezpieczniejszą reakcją jest wstrzymanie działania do czasu niezależnego potwierdzenia. Wiadomość można oznaczyć jako phishing zgodnie z funkcją używanego programu pocztowego, a następnie przekazać administratorowi lub osobie odpowiedzialnej za bezpieczeństwo. Nie należy odpowiadać napastnikowi, pobierać kolejnych plików ani przekazywać dalej ostrzeżenia razem z aktywnym odnośnikiem. Gdy załącznik został otwarty, trzeba odłączyć komputer od sieci tylko wtedy, gdy wymagają tego procedury organizacji, i szybko zgłosić incydent. Administrator może przeanalizować nagłówki, logi uwierzytelniania, historię przeglądarki oraz uruchomione procesy.

Na laptopie lub komputerze PC pomocne jest także sprawdzenie aktualności systemu, przeglądarki i programu pocztowego, włączenie uwierzytelniania wieloskładnikowego oraz korzystanie z menedżera haseł, który zwykle nie uzupełni danych na domenie różniącej się od zapisanej. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a w przypadku podejrzenia skutków takiego incydentu można zlecić serwisowe sprawdzenie komputera, usunięcie niepożądanego oprogramowania i podstawową weryfikację jego działania. Konta firmowe, uprawnienia i analizę infrastruktury powinien równolegle ocenić administrator organizacji.