Panloloko sa Email para sa Paalala sa Taunang Bakasyon

Napakahalaga ng pananatiling mapagbantay kapag humahawak ng mga hindi inaasahang email sa digital na kapaligiran ngayon. Madalas na ibinabalabal ng mga cybercriminal ang mga malisyosong mensahe bilang mga regular na komunikasyon sa lugar ng trabaho upang samantalahin ang tiwala at pagkaapurahan. Ang tinatawag na mga email na 'Annual Leave Reminder' ay isang malinaw na halimbawa ng taktikang ito. Sa kabila ng tila nagmumula sa isang panloob na departamento ng HR, ang mga email na ito ay walang kaugnayan sa anumang lehitimong kumpanya, organisasyon, o entidad at idinisenyo lamang para sa mga layuning mapanlinlang.

Isang Nakakakumbinsing Panlilinlang na May Temang HR

Kinumpirma ng pagsusuri sa cybersecurity ng mga email ng Annual Leave Reminder na mga pagtatangka ang mga ito ng phishing. Inaangkin ng mga mensahe na nagmula ito sa departamento ng Human Resources ng isang kumpanya at tumutukoy sa mga kinakailangan sa pagpaplano ng taunang leave.

Ipinapaalam sa mga tatanggap na dapat nilang repasuhin at ayusin ang kanilang bakasyon alinsunod sa patakaran ng kumpanya. Karaniwang kasama sa email ang isang panawagan para sa aksyon, tulad ng isang buton o hyperlink na may label na 'Mag-click dito upang repasuhin ang iyong balanse sa bakasyon.' Maaari ring bigyang-diin ng mensahe ang mga deadline at hikayatin ang napapanahong pagsusumite ng mga kahilingan sa bakasyon upang matiyak ang maayos na operasyon ng negosyo.

Ang propesyonal na tono at pamilyar na konteksto sa lugar ng trabaho ay sadyang ginawa upang mabawasan ang hinala at mag-udyok ng agarang aksyon.

Ang Phishing Link at Pag-aani ng Kredensyal

Ang pangunahing layunin ng email ay hikayatin ang mga tatanggap na i-click ang naka-embed na link. Ang paggawa nito ay magre-redirect sa kanila sa isang mapanlinlang na website na idinisenyo upang nakawin ang mga kredensyal sa pag-login.

Kadalasang ginagaya ng mga phishing site na ito ang mga kilalang email service provider. Halimbawa, maaaring ipakita sa mga gumagamit ng Gmail ang isang pekeng Gmail login page, habang maaaring makakita naman ang mga gumagamit ng Yahoo Mail ng isang nakakakumbinsing imitasyon ng sign-in portal ng kanilang provider. Karaniwang hinihingi ng pahina ang email address at password ng gumagamit sa ilalim ng pagkukunwari ng pag-verify ng access para sa mga leave record.

Kapag naipasok na ang mga kredensyal, direktang ipinapadala ang mga ito sa mga umaatake.

Ang mga Bunga ng Pagkompromiso sa Account

Ang mga nakompromisong email account ay maaaring humantong sa matinding kahihinatnan sa seguridad at privacy. Ang mga email account ay kadalasang nagsisilbing daan patungo sa iba pang mga serbisyo, kabilang ang mga social media platform, mga aplikasyon sa pagbabangko, mga gaming account, at mga sistema ng negosyo.

Gamit ang mga ninakaw na detalye sa pag-login, maaaring gawin ng mga cybercriminal ang mga sumusunod:

• I-access ang sensitibong personal o impormasyon ng korporasyon.
• I-reset ang mga password para sa iba pang naka-link na account.
• Magpadala ng mga mapanlinlang na email sa mga contact.
• Ipamahagi ang mga nakakahamak na attachment mula sa isang pinagkakatiwalaang address.

• Magsagawa ng pandaraya sa pananalapi o pagnanakaw ng pagkakakilanlan.

Maaari ring payagan ng pag-hijack ng account ang mga umaatake na magpanggap na biktima sa mga karagdagang kampanya ng phishing, na nagpapataas sa saklaw ng banta.

Mas Malawak na Panganib: Pamamahagi ng Malware

Sa ilang mga kaso, ang mga ganitong uri ng panloloko ay maaari ring gamitin upang mamahagi ng malware. Ang mga cybercriminal ay madalas na umaasa sa mga spam email upang magkalat ng malisyosong software sa pamamagitan ng mga nahawaang attachment o mapanlinlang na link.

Maaaring nakatago ang malware sa loob ng mga executable (.exe) file, mga dokumento ng Word o Excel, mga PDF, mga ZIP o RAR archive, o mga script file. Karaniwang nangyayari lamang ang impeksyon pagkatapos buksan ng tatanggap ang attachment o paganahin ang mga partikular na feature tulad ng mga macro.

Ang pag-click sa isang malisyosong link ay maaari ring humantong sa isang nakompromiso o mapanlinlang na website. Ang mga site na ito ay maaaring awtomatikong magsimula ng pag-download ng malware o tangkaing hikayatin ang user na manu-manong mag-download at magpatakbo ng isang mapaminsalang file. Ang mga ganitong impeksyon ay maaaring magresulta sa pagnanakaw ng data, pinsala sa system, o hindi awtorisadong malayuang pag-access.

Paano Tukuyin at Iwasan ang Scam

Para mabawasan ang panganib na maging biktima ng scam na Annual Leave Reminder:

• I-verify ang mga hindi inaasahang email na may kaugnayan sa HR sa pamamagitan ng mga opisyal na internal na channel ng komunikasyon.
• Iwasan ang pag-click sa mga link sa mga hindi hinihingi o kahina-hinalang mensahe.
• Suriing mabuti ang email address ng nagpadala para sa mga hindi pagkakapare-pareho o mga hindi pangkaraniwang domain.
• Huwag kailanman maglagay ng mga login credential sa mga website na na-access sa pamamagitan ng mga hindi na-verify na link.
• Iulat ang mga pinaghihinalaang phishing email sa IT o security team ng organisasyon.

Dapat palaging direktang ma-access ng mga empleyado ang mga portal ng kumpanya sa pamamagitan ng pag-type ng opisyal na address ng website sa browser sa halip na gumamit ng mga naka-embed na link.

Pangwakas na Pagtatasa

Ang scam sa email na may kaugnayan sa Annual Leave Reminder ay nagkukunwaring isang lehitimong komunikasyon sa HR ngunit sa katunayan ay isang kampanyang phishing na naglalayong magnakaw ng mga kredensyal sa email. Sa pamamagitan ng panggagaya sa mga pinagkakatiwalaang tagapagbigay ng serbisyo sa email at paggamit ng mga karaniwang proseso sa lugar ng trabaho, pinapataas ng mga umaatake ang posibilidad ng tagumpay.

Ang mga email na ito ay walang kaugnayan sa anumang tunay na departamento ng HR o mga lehitimong entidad. Ang pakikipag-ugnayan sa mga ito ay maaaring humantong sa pagkuha ng account, pagnanakaw ng pagkakakilanlan, pagkalugi sa pananalapi, at iba pang mga banta sa cyber. Ang kamalayan, maingat na paghawak ng email, at matibay na mga kasanayan sa pag-verify ay nananatiling mahahalagang depensa laban sa mga naturang pag-atake.