SI-CERT: Prevare preko Linked
Nacionalni odzivni center za kibernetsko varnost opozarja na prevare, ki se dogajajo preko poslovnega družbenega omrežja, kjer lažni kandidati za zaposlitev širijo zlonamerno kodo in kradejo podatke
Novica je bila 22. 8. 2026 objavljen na Linkedinu, izvirni tehnični članek pa 7. 2. 2025.
SI-CERT opozarja na napade, pri katerih se napadalci predstavljajo kot iskalci zaposlitve, potencialni poslovni sodelavci ali potencialni delodajalci.. Prvi stik z organizacijo praviloma vzpostavijo prek omrežja LinkedIn, nato pa osebo prepričajo, naj prenese in zažene domnevni predstavitveni projekt. Ta je na prvi pogled videti povsem običajno, vendar vsebuje zlonamerno kodo, namenjeno kraji podatkov in pridobitvi oddaljenega dostopa do naprave.
Napadi so usmerjeni predvsem v podjetja in posameznike, ki delujejo na področju tehnologij Web3, pametnih pogodb, kriptovalut in tehnologije veriženja blokov. Kljub temu je način izvedbe napada pomemben tudi za druge organizacije, saj izkorišča običajne postopke zaposlovanja in poslovnega sodelovanja, pri katerih zaposleni pogosto odpirajo povezave ter pregledujejo datoteke, ki jih prejmejo od neznanih oseb.
Od predstavitvenega projekta do kraje podatkov
SI-CERT je pri analizi konkretnega primera ugotovil, da je napadalec žrtvi poslal povezavo do projekta v obliki NPM-paketa. Projekt je vseboval tudi navodila za namestitev in zagon, pri čemer se je skupaj z legitimno kodo neopazno izvedla še zlonamerna koda.
Napad je potekal v več stopnjah. Prvi del zlonamerne kode, imenovan BeaverTail, je zbiral podatke iz spletnih brskalnikov in njihovih razširitev. Posebej so bile izpostavljene razširitve za upravljanje kriptodenarnic, med drugim MetaMask, Coinbase Wallet, Phantom, Trust Wallet in različne avtentikacijske razširitve. Koda je lahko pridobila tudi shranjena gesla, podatke o sejah, zgodovino brskanja in druge informacije, shranjene v brskalniku.
Na okuženo napravo se je nato prenesel še drugi del zlonamerne kode, imenovan InvisibleFerret. Ta je napadalcem omogočal izvajanje ukazov na daljavo, beleženje vnosov s tipkovnico, iskanje in prenos datotek, nameščanje programa za oddaljeni dostop ter krajo podatkov iz brskalnikov, upravljavcev gesel, kriptodenarnic in drugih aplikacij. Med podatki, ki jih je lahko pridobil, so bila tudi shranjena gesla in podatki o kreditnih karticah.
Okužba naprave je lahko tudi kršitev varstva osebnih podatkov
Če zlonamerna koda pridobi dostop do dokumentov, elektronske pošte, uporabniških računov, gesel ali drugih informacij, ki vsebujejo osebne podatke, lahko dogodek pomeni kršitev varstva osebnih podatkov v smislu GDPR. Kršitev namreč ni omejena le na izgubo podatkov, temveč vključuje tudi njihov nepooblaščen dostop, razkritje ali spreminjanje.
Organizacija mora ob zaznavi okužbe ugotoviti, do katerih sistemov in podatkov je napadalec lahko dostopal, katere kategorije osebnih podatkov so bile prizadete, koliko posameznikov je lahko bilo vključenih ter kakšne posledice bi zanje lahko nastale. Pomembno je tudi preveriti, ali so bila pridobljena gesla, sejni žetoni ali druge informacije, ki bi napadalcu omogočale nadaljnji dostop do službenih sistemov.
Če je verjetno, da bo kršitev povzročila tveganje za pravice in svoboščine posameznikov, jo mora upravljavec praviloma prijaviti Informacijskemu pooblaščencu najpozneje v 72 urah po seznanitvi z njo. Kadar obstaja veliko tveganje za posameznike, je lahko potrebno tudi njihovo neposredno obvestilo. Vsako ugotovljeno kršitev je treba dokumentirati, tudi če organizacija po opravljeni presoji sklene, da prijava nadzornemu organu ni potrebna.
Primer kaže, da zagotavljanje varnosti osebnih podatkov ni omejeno na tehnično zaščito strežnikov in informacijskih sistemov. Pomemben del ukrepov po 32. členu GDPR so tudi ustrezno usposabljanje zaposlenih, varno pregledovanje kode in datotek iz zunanjih virov, omejevanje uporabniških pravic ter jasno določeni postopki za prijavo sumljivih sporočil in varnostnih incidentov.
Posebna previdnost je potrebna pri projektih, ki zahtevajo namestitev dodatnih programskih knjižnic ali zagon kode na službeni napravi. Dejstvo, da je bila povezava prejeta prek profesionalnega omrežja ali v okviru navidezno legitimnega zaposlitvenega postopka, še ne pomeni, da je njena vsebina varna.
Celoten članek s slikami in primeri je dostopen tukaj.
Vir: Nacionalni odzivni center za kibernetsko varnost – SI-CERT
Naslovna fotografija: Pexels
