Убедительная тактика ответов на комментарии в LinkedIn используется в новой фишинговой атаке.

[zender]

На этой неделе мошенники заполонили публикации в LinkedIn поддельными комментариями, которые выглядят так, будто они исходят от самой платформы, предупреждая пользователей о ложных нарушениях правил и призывая их перейти по внешней ссылке.


Сообщения убедительно имитируют фирменную символику LinkedIn, а в некоторых случаях даже используют официальный сервис сокращения URL-адресов компании lnkd.in, что затрудняет различение фишинговых ссылок от легитимных.

«Доступ к вашему аккаунту временно ограничен».​

В последние несколько дней пользователи LinkedIn стали жертвами активности ботов со стороны нескольких профилей, оформленных в стиле LinkedIn, которые оставляли комментарии к их публикациям.

В этих сообщениях ложно утверждается, что пользователь «совершал действия, не соответствующие правилам» платформы, и что его учетная запись была «временно заблокирована» до тех пор, пока он не перейдет по указанной в комментарии ссылке.


Сфабрикованный ответ с логотипом LinkedIn, показанный ниже и заархивированный здесь , выглядит довольно убедительно, в зависимости от того, как пользователи взаимодействуют с областью комментариев и на каком устройстве.

Поддельный ответ-комментарий в LinkedIn, призывающий пользователей перейти на фишинговую страницу.

«Мы принимаем меры для защиты вашей учетной записи, когда обнаруживаем признаки потенциального несанкционированного доступа. Это может включать вход в систему из незнакомых мест или…», — также говорится в предварительном просмотре ссылки, сгенерированной в подготовленном ответе.

Приведённый выше пример демонстрирует буквенно-цифровой домен ".app", не связанный с LinkedIn, что может вызвать подозрения у некоторых пользователей. Однако в других публикациях эта уловка идёт ещё дальше: ссылки на целевой сайт маскируются с помощью официального сервиса сокращения URL-адресов LinkedIn, lnkd.in , что затрудняет обнаружение фишинговых доменов без перехода по ним. Это может быть особенно тревожно, если предварительный просмотр ссылки отображается не полностью на некоторых устройствах.


Примеры подобных ответов и комментариев были опубликованы несколькими пользователями LinkedIn, в том числе Ратко Ивековичем , Джоселин М. , Кэндис Эделен и Адамой Кулибали .

Ответы, касающиеся злоупотребления сервисом сокращения URL-адресов lnkd.in (Джоселин М. на LinkedIn)

В частности, фишинговый сайт very1929412.netlify [.]app , обнаруженный BleepingComputer, сначала подробно описывает ложное «временное ограничение» и сообщает пользователю, что для снятия ограничения ему необходимо «подтвердить» свою личность:

Первый фишинговый домен LinkedIn (BleepingComputer)

При нажатии на кнопку «Подтвердите свою личность» пользователь переходит на еще один фишинговый домен, https://very128918[.]site, где и происходит фактическая кража учетных данных:

Второй фишинговый домен, связанный с LinkedIn, занимается сбором учетных данных.
(BleepingComputer)

Страницы компаний в LinkedIn используются не по назначению.​

Эти комментарии публикуются с поддельных страниц компаний, использующих официальный логотип LinkedIn и измененное название платформы, например, LinkedVery.

Эделен поделилась несколькими подобными аккаунтами в LinkedIn , которые появились на этой профессиональной платформе для нетворкинга за последнюю неделю.


На момент написания этой статьи страница, показанная ниже, была удалена LinkedIn:

Страница компании в LinkedIn, имитирующая LinkedIn (BleepingComputer)

LinkedIn осведомлен о кампании и принимает меры по ее пресечению.​

BleepingComputer обратился к LinkedIn с вопросом, известно ли платформе о данной продолжающейся кампании.

«Я могу подтвердить, что нам известно об этой активности, и наши команды работают над принятием мер», — заявил представитель LinkedIn изданию BleepingComputer.


«Важно отметить, что LinkedIn не сообщает и не будет сообщать о нарушениях правил своим участникам через публичные комментарии, и мы призываем наших участников сообщать о подозрительном поведении. Таким образом, мы сможем провести проверку и принять соответствующие меры».


В 2023 году BleepingComputer впервые сообщил об убедительной мошеннической схеме X (тогда еще Twitter), в которой учетные записи, выдающие себя за крупные банки, отвечали на жалобы клиентов, направленные в реальные учреждения, призывая их связаться по номеру телефона, контролируемому мошенником.


Пользователям следует сохранять бдительность и избегать взаимодействия с комментариями, ответами или личными сообщениями, которые, как кажется, выдают себя за LinkedIn и призывают получателей переходить по внешним ссылкам.