JFrog ने AccuraSoftHire के नाम पर चल रहे फर्जी नौकरी घोटाले का किया खुलासा

सॉफ्टवेयर सप्लाई चेन और DevOps कंपनी JFrog ने हाल ही में 'AccuraSoftHire' के नाम से चल रहे एक अज्ञात साइबर हमले के अभियान का पर्दाफाश किया है। बिजनेसलाइन (BusinessLine) की एक रिपोर्ट के अनुसार, यह एक ऐसा घोटाला है जिसमें नई नौकरी की तलाश कर रहे सॉफ्टवेयर डेवलपर्स को फर्जी हायरिंग ऑफर देकर निशाना बनाया जा रहा है।

JFrog की रिसर्च टीम ने बताया कि AccuraSoftHire एक फर्जी कंपनी है। इस धोखाधड़ी को असली दिखाने के लिए साइबर अपराधियों ने एक प्रोफेशनल करियर साइट, क्लाइंट टेस्टिमोनियल्स, लिंक्डइन पेज और प्रमुख जॉब बोर्ड्स पर नौकरी के विज्ञापन डाले हैं। इतना ही नहीं, इस प्रक्रिया में लिंक्डइन के माध्यम से आईडी-वेरिफाइड रिक्रूटर्स का भी उपयोग किया गया है, ताकि उम्मीदवारों को इस पर विश्वास हो जाए।

इस प्रक्रिया में, आवेदक या तो इन कथित रिक्रूटर्स के विज्ञापनों के माध्यम से संपर्क करते हैं या साइबर अपराधी खुद उन्हें टारगेट करते हैं। हायरिंग प्रक्रिया के दौरान, उम्मीदवारों को 'टेक-होम टेस्ट' (घर से करने के लिए परीक्षा) दिया जाता है। इस टेस्ट के बहाने उन्हें ऐसी सामग्री इंस्टॉल करने के लिए कहा जाता है, जिसके जरिए अपराधी उनके सिस्टम में मालवेयर भेज सकते हैं।

JFrog सिक्योरिटी रिसर्च के सीनियर सिक्योरिटी रिसर्चर गाय कोरोलेवस्की ने कहा कि, "बाइनेंस (Binance) हमले के बाद, इस पद्धति को अपनाने वाला हर हमलावर देख सकता है कि इससे कितना बड़ा फायदा हो सकता है, और हमें उम्मीद है कि ऐसे मामले बढ़ेंगे।" उन्होंने आगे कहा कि इस तरह के घोटालों ने बाइनेंस पर हुए हमले जैसी घटनाओं को जन्म दिया है, जिसमें 6.34 अरब डॉलर की संपत्ति प्रभावित हुई थी।

कोरोलेवस्की के अनुसार, यह लालच इस तरह से तैयार किया गया है कि सामान्य जांच में यह असली लगे। प्रोफेशनल वेबसाइट, लिंक्डइन पेज और वेरिफाइड बैज वाले रिक्रूटर्स के कारण सिस्टम एक्सेस रखने वाले डेवलपर्स और कर्मचारियों के लिए इसे पहचानना मुश्किल हो जाता है। इसलिए, उन्होंने जोर देकर कहा कि नियोक्ताओं को इसके लिए सख्त नियम तय करने चाहिए।

सुरक्षा उपायों के रूप में, कोरोलेवस्की ने सुझाव दिया है कि इंटरव्यू असाइनमेंट में यदि कुछ डाउनलोड करना हो, तो उसे कभी भी ऑफिस के लैपटॉप पर नहीं, बल्कि केवल डिस्पोजेबल वर्चुअल मशीन पर ही चलाना चाहिए। इसके अलावा, सुरक्षा टीमों को कर्मचारियों को चेतावनी देनी चाहिए कि वे अज्ञात फाइलें डाउनलोड न करें, भले ही स्रोत विश्वसनीय लगे।

डेवलपर्स के लिए उन्होंने कुछ टिप्स दिए हैं, जिनमें यह जांचना शामिल है कि रिक्रूटर्स की प्रोफाइल कब बनाई गई थी और यह सुनिश्चित करना कि कंपनी का लोकेशन हर पेज पर एक ही है या नहीं। उन्होंने उल्लेख किया कि इस तरह की धोखाधड़ी AI युग से पहले भी होती थी, लेकिन अब AI के कारण यह अधिक विकसित और संख्या में बढ़ गई है। AI द्वारा बनाई गई फर्जी छवियों और वेबसाइटों के कारण यह जानना और अधिक कठिन हो गया है कि कंपनी फर्जी है या नहीं।

JFrog ने अपनी विस्तृत रिपोर्ट में डेवलपर्स को सलाह दी है कि वे टेक-होम टेस्ट को 'अनट्रस्टेड कोड' मानें और ऐसे अज्ञात प्रोजेक्ट्स को केवल VS Code के रिस्ट्रिक्टेड मोड में ही खोलें। कोरोलेवस्की ने स्पष्ट किया कि, "एक वैध इंटरव्यू में आपको कभी भी ड्राइवर इंस्टॉल करने की आवश्यकता नहीं होती है, और हमें ऐसी किसी कंपनी के बारे में पता नहीं है जो curl कमांड के माध्यम से 'रिकमेंडेड VS Code कॉन्फ़िगरेशन' भेजती हो।"