Scam sa Kahilingan ng Awtorisasyon ng HR Department

Ang pananatiling maingat kapag sinusuri ang mga mensaheng nauugnay sa trabaho ay mahalaga, lalo na't ang mga cybercriminal ay lalong nagpapanggap bilang mga panloob na departamento upang makakuha ng access sa sensitibong impormasyon. Ang isa sa mga pinakabagong halimbawa ng taktika na ito ay ang HR Department Authorization Request Scam, isang phishing operation na ginawa upang magnakaw ng mga kredensyal ng account at ikompromiso ang mga corporate system.

Isang Mapanlinlang na Mensahe na Nagbabalatkayo bilang HR

Ang mga mapanlinlang na email na sinuri ng mga mananaliksik ng seguridad ay nagpapanggap bilang mga panloob na abiso mula sa departamento ng Human Resources ng kumpanya. Ang mga ito ay naka-frame bilang mga update na konektado sa isang paparating na yugto ng pag-unlad ng kawani at sinasabing ang mga bagong istruktura ng kompensasyon, mga pagbabago sa patakaran sa bakasyon, at mga pagsasaayos ng suweldo ay dapat suriin ng tatanggap. Ang linya ng paksa ay madalas na kahawig ng 'HR Authorization Request: Policy Updates for 2025', kahit na nag-iiba-iba ang eksaktong mga salita.

Sa kabila ng nakakumbinsi na tono, gawa-gawa lamang ang bawat paghahabol sa mga mensaheng ito. Ang mga email ay hindi nauugnay sa employer ng tatanggap, HR department, o anumang lehitimong kumpanya, organisasyon, o service provider. Sa halip, nagsisilbi ang mga ito bilang mga pang-akit na idinisenyo upang itulak ang mga tatanggap patungo sa mga pahina ng phishing na ginagaya ang mga portal ng pag-log-in ng email. Ang mga spoofed na site na ito ay ginawa upang makuha ang mga password at bigyan ang mga scammer ng ganap na access sa mga account sa trabaho.

Bakit Tinatarget ng mga Cybercriminal ang Mga Account sa Trabaho

Ang pagkakaroon ng entry sa account ng isang empleyado ay lubhang mahalaga para sa mga umaatake. Ang mga komunikasyon sa negosyo ay kadalasang naglalaman ng kumpidensyal na data, mga detalye ng pagpapatakbo, mga rekord sa pananalapi, at mga link sa pag-access sa mga panloob na serbisyo. Sa sandaling makuha ng mga kriminal ang mga kredensyal na ito, maaari nilang pagsamantalahan ang mga ito para sa direktang malisyosong layunin o ibenta ang mga ito sa ibang mga aktor ng pagbabanta.

Mga panganib na nilikha ng mga nakompromisong account

• Ang pagkakalantad ng sensitibong impormasyon ng negosyo at mas mataas na panganib ng paglaganap ng malware, kabilang ang ransomware o mga impeksyon sa Trojan
• Hindi awtorisadong pag-access sa mga konektadong platform gaya ng cloud storage, mga tool sa pagbabahagi ng file, mga system ng pamamahala ng proyekto, o mga corporate social media account

Sa tamang pag-access, maaaring magpanggap ang mga scammer bilang biktima upang humiling ng pera, magbahagi ng mga malisyosong file, o magkalat ng mapanlinlang na nilalaman sa mga kasamahan, kasosyo, at kliyente.

Mga posibleng kahihinatnan ng isang matagumpay na pag-atake

• Pagnanakaw sa pananalapi, mga mapanlinlang na transaksyon, o maling paggamit ng mga digital wallet
• Panloloko sa pagkakakilanlan at pagpapanggap
• Mga pangmatagalang epekto sa privacy at mga potensyal na paglabag sa data ng kumpanya

Mga Taktika sa Likod ng Mga Phishing Email na Ito

Bagama't maraming tao ang umaasa na ang spam ay mapupuno ng mga halatang error, ang mga scam na ito ay kadalasang pinakintab at propesyonal na nakasulat. Sinadya nilang gayahin ang corporate tone at pagba-brand para lumabas na tunay. Ang mga attacker ay namamahagi ng mga naturang email upang i-promote ang iba't ibang anyo ng pandaraya at para maghatid ng malware sa pamamagitan ng mga nakakapinsalang attachment o naka-embed na link.

Ang mga nakakahamak na file na ginamit sa mga kampanyang ito ay maaaring magsama ng mga executable na program, archive, dokumento, JavaScript file, o iba pang mga format. Awtomatikong nag-a-activate ang ilan sa mga ito kapag binuksan, habang ang iba ay nangangailangan ng pakikipag-ugnayan, tulad ng pag-enable ng mga macro sa mga Office file o pag-click sa mga naka-embed na item sa mga dokumento ng OneNote.

Ano ang Mangyayari sa mga Biktima

Ang mga mahuhulog sa HR Department Authorization Request Scam ay maaaring maharap sa isang kaskad ng pinsala. Ang mga ninakaw na kredensyal ay nagbibigay sa mga kriminal ng pagkakataong makalusot sa mas malawak na network, magnakaw ng karagdagang data, at magpasimula ng pag-deploy ng malware. Ang nagreresultang pinsala ay kadalasang kinabibilangan ng mga paglabag sa privacy, kompromiso sa system, pagkawala ng pananalapi, at pagnanakaw ng pagkakakilanlan.

Kung may nagbigay na ng mga detalye ng kanilang account, kailangan ng agarang aksyon. Ang pag-update ng mga password para sa lahat ng posibleng maapektuhang account at pakikipag-ugnayan sa mga opisyal na team ng suporta para sa mga serbisyong iyon ay lubos na inirerekomenda.

Ang pananatiling mapagbantay, kahit na may mga email na mukhang nakagawian o galing sa loob, ay isa sa pinakamabisang panlaban laban sa mga modernong banta sa phishing.