Büyük Markaların Kılığında Sahte İş Görüşmesiyle Google Hesapları Çalınıyor

Son dönemde ortaya çıkan karmaşık bir oltalama (phishing) kampanyası, dünyaca tanınan 30'dan fazla büyük markanın adını kullanarak sahte iş görüşmeleri düzenliyor. Dolandırıcılar; Adobe, Netflix, Coca-Cola ve OpenAI gibi köklü ve global şirketlerin kimliklerine bürünerek, özellikle pazarlama sektöründe çalışan profesyonelleri hedef alıyor. Bu kişileri işe alım süreçlerine dahil etmek kisvesiyle tuzağa düşüren saldırganlar, asıl amaçlarının kişilerin Google hesap bilgilerini ele geçirmek olduğunu gizliyorlar. Kariyer fırsatı sunulduğu için mağdurların savunmasını düşüren bu saldırı, siber güvenlik uzmanları tarafından yüksek riskli olarak değerlendiriliyor. Uzmanlar, iş arama süreçlerinin bu tür kötü niyetli faaliyetler için ideal bir zemin oluşturduğuna dikkat çekiyor.

Saldırının teknik detayları incelendiğinde, dolandırıcıların son derece karmaşık ve inandırıcı yöntemler kullandığı görülüyor. Mağdurlara, sözde büyük şirketlerin İnsan Kaynakları departmanlarından geldiği iddia edilen e-postalar veya mesajlar gönderiliyor. Bu iletişim aşamasında profesyonellere yüksek maaşlı ve cazip pozisyonlar sunulduktan sonra, adayların mülakata hazırlık amacıyla sahte bir platforma veya Google kimlik doğrulama ekranına yönlendirildiği belirtiliyor. Kişiler, sahte giriş sayfalarına kullanıcı adlarını ve şifrelerini girdiklerinde, bu hassas bilgiler doğrudan siber suçluların eline geçiyor. Süreç, gerçek bir işe alım senaryosundan ayırt edilemeyecek kadar titizlikle tasarlandığı için mağdurların yeterli şüphe duymadan bilgilerini teslim etmelerine neden oluyor.

Bu oltalama girişiminin özellikle pazarlama profesyonellerini hedeflemesi, saldırganların stratejik bir yaklaşım benimsediğini ortaya koyuyor. Pazarlama ve dijital iletişim sektöründe çalışanlar, günlük iş akışlarında kapsamlı dijital araçlar kullandıkları ve müşteri verilerine erişebildikleri için siber suçluların gözdesi durumundadır. Ayrıca bu profesyonellerin düzenli olarak iş ağlarını genişletmeye çalışmaları ve LinkedIn gibi platformlarda görünür olmaları, kötü niyetli kişilerin onlara yaklaşmasını son derece kolaylaştırıyor. Ele geçirilen bir Google hesabı; kurumsal e-postalara, bulutta depolanan gizli şirket belgelerine ve reklam kampanyalarına ait kritik yönetici panellerine erişim sağlayabilir. Dolayısıyla, tek bir çalışanın kandırılması bile şirketlerin tamamının itibarını ve veri güvenliğini tehlikeye atabilecek ciddi bir zincirleme reaksiyon başlatabiliyor.

Olayın arka planında, siber suçluların markaların gücünü ve toplumdaki güvenilirliğini istismar etmesi yatıyor. İnsanlar, Adobe veya Netflix gibi daha önce defalarca etkileşimde bulundukları, global olarak bilinen markaların isimlerini duyduklarında temel bir güven duygusu geliştiriyorlar. Dolandırıcılar, bu psikolojik güveni suistimal ederek, mağdurların mantıklı düşünme yeteneklerini geçici olarak devre dışı bırakıyor. İçinde bulunulan ekonomik koşulların ve iş bulma baskısının artması da, insanların normal şartlarda dikkat edeceği tehlikeli işaretleri gözden kaçırmalarına yol açıyor. Büyük markalar adına yapılan bu sahte teklifler, kişilerin umutlarıyla oynayarak onları hemen her türlü güvenlik kalkanını indirmeye teşvik ediyor. Bu tür sosyal mühendislik taktikleri, teknolojinin ötesinde doğrudan insan psikolojisini hedef aldığı için önlenmesi en zor siber tehditler arasında yer alıyor.

Bu tür kötü niyetli kampanyalardan korunmak için hem bireylerin hem de kurumların çok daha proaktif ve dikkatli olmaları gerekiği vurgulanıyor. Uzmanlar, iş arayanların özellikle beklemedikleri bir anda gelen, harici ve doğrulanmamış e-posta adreslerinden gelen iş tekliflerine karşı ekstra temkinli davranmaları gerektiğini belirtiyor. Gerçek şirketlerin resmi kariyer web siteleri dışındaki platformlardan veya kişisel e-posta adreslerinden yapılan iletişimlere asla güvenilmemesi, şüphe uyandıran bağlantılara tıklanmaması gerekiyor. Ayrıca, tüm kullanıcıların iki faktörlü kimlik doğrulama (2FA) özelliğini mutlaka aktif etmesi, olası bir şifre çalınması durumunda hesabın ele geçirilmesini engellemenin en etkili yolu olarak öne çıkıyor. Şirketlerin de çalışanlarını bu tür sosyal mühendislik saldırılarına karşı düzenli olarak eğitmesi ve sahte iş tekliflerine karşı nasıl teşhis konulacağına dair farkındalık yaratması büyük önem taşıyor.