NordVPN威胁情报研究部门披露，近期发现一场针对求职者的复杂网络钓鱼活动。攻击者伪装成Meta（含Facebook、WhatsApp）、迪士尼、可口可乐及Spotify等全球知名企业，旨在窃取受害者Facebook凭据并劫持账户。
多步骤攻击链路解析
该活动采用多步骤操作模式，通过隐藏域名（HUB）、推荐链接激活机制及逼真的招聘界面，诱导受害者逐步陷入陷阱，最终将其重定向至伪造的Facebook登录页面以捕获凭据。
NordVPN产品总监Domininkas Virbickas指出：“求职者习惯分享个人信息并响应陌生联系人，极易成为目标。攻击者利用这种信任，通过高度仿真的通信和虚假职业门户实施诈骗，其逼真程度几乎与真实平台无异。”
攻击流程详解
1. 精准投递冷邮件
攻击始于通过Google AppSheet等合法服务发送的冷邮件，以此绕过垃圾邮件过滤。邮件内容专业、语法完美，模仿真实招聘话术。收件人列表可能源自LinkedIn数据爬取或历史泄露数据。
2. HUB域名与条件触发
邮件链接指向“HUB”域名（如careers.meta-findyourjob[.]com）。此类网站具备反检测机制：若被安全分析师或扫描器直接访问，仅显示静态页面；唯有通过邮件中的特定推荐链接访问时，才会解锁隐藏的“查找模糊职位”按钮。
3. 假冒招聘门户诱导
点击链接后，用户被重定向至模拟合法招聘平台的中间域名。界面展示可信的假冒品牌职位，强化真实感。例如：
- Meta：plus.jobfusion-mt[.]com / official.professionlaunch-mt[.]com
- 可口可乐：careers.coca-contactnow[.]info
- Spotify：connect.spotifycarerapy[.]com
- 迪士尼：jobquest.wdcfuturesteps[.]com
4. 凭据窃取终局
当受害者点击“申请”时，会被重定向至要求使用Facebook登录的钓鱼页面。一旦输入凭据，攻击者即可完全控制该Facebook账户及其关联服务。
安全防护建议
鉴于此类钓鱼邮件高度仿真，NordVPN建议用户在收到求职邮件时采取以下措施：
- 验证URL真实性：正规公司仅在官方域名托管招聘页。若“使用Facebook登录”跳转至非facebook.com的未知域名，极大概率为钓鱼。
- 启用多因素认证（MFA）：为所有社交账户开启2FA，即使凭据泄露也能有效阻断非法访问。
- 警惕未经请求的机会：切勿轻信邮件或消息中催促快速行动的陌生工作邀约。
方法论说明
本次调查采用开源情报（OSINT）方法，结合搜索引擎高级算子与Fofa.io、Shodan.io等专业工具进行交叉验证。研究不仅识别了相关域名，还通过分析暴露的服务与端口，精准界定了实际被入侵系统的范围，确保结论基于经核实的数据。