JFrog દ્વારા AccuraSoftHire ના નામે ચાલી રહેલી નકલી નોકરીની છેતરપિંડી ખુલ્લી પડી

સોફ્ટવેર સપ્લાય ચેઇન અને DevOps કંપની JFrog એ તાજેતરમાં 'AccuraSoftHire' નામે ચાલી રહેલી એક અનામી સાયબર હુમલાની કામગીરીનો પર્દાફાશ કર્યો છે. બિઝનેસલાઇન (BusinessLine) ના અહેવાલ મુજબ, આ એક એવી છેતરપિંડી છે જેમાં નવી નોકરીની શોધમાં રહેલા સોફ્ટવેર ડેવલપર્સને નકલી હાયરિંગ ઓફર્સ આપીને નિશાન બનાવવામાં આવે છે.

JFrog ની રિસર્ચ ટીમે જણાવ્યું છે કે AccuraSoftHire એ એક નકલી કંપની છે. આ છેતરપિંડીને સાચી દેખાડવા માટે સાયબર અપરાધીઓએ એક પ્રોફેશનલ કરિયર સાઇટ, ક્લાયન્ટ ટેસ્ટિમોનિયલ્સ, લિંક્ડઇન પેજ અને મુખ્ય જોબ બોર્ડ્સ પર નોકરીની જાહેરાતો મૂકી છે. એટલું જ નહીં, આ પ્રક્રિયામાં લિંક્ડઇન દ્વારા આઈડી-વેરિફાઈડ રિક્રુટર્સનો પણ ઉપયોગ કરવામાં આવ્યો છે, જેથી ઉમેદવારોને તેના પર વિશ્વાસ બેસી જાય.

આ પ્રક્રિયામાં, અરજદારો કાં તો આ કથિત રિક્રુટર્સની જાહેરાતો દ્વારા સંપર્ક કરે છે અથવા તો સાયબર અપરાધીઓ પોતે તેમને ટાર્ગેટ કરે છે. હાયરિંગ પ્રક્રિયા દરમિયાન, ઉમેદવારોને 'ટેક-હોમ ટેસ્ટ' (ઘરેથી કરવા માટેની કસોટી) આપવામાં આવે છે. આ ટેસ્ટના બહાને તેમને એવી સામગ્રી ઇન્સ્ટોલ કરવા માટે કહેવામાં આવે છે, જેના દ્વારા અપરાધીઓ તેમના સિસ્ટમમાં માલવેર મોકલી શકે છે.

JFrog સિક્યુરિટી રિસર્ચના સિનિયર સિક્યુરિટી રિસર્ચર ગાય કોરોલેવસ્કીએ જણાવ્યું હતું કે, "બાયનાન્સ (Binance) ના હુમલા પછી, આ પદ્ધતિ અપનાવનાર દરેક હુમલાખોર જોઈ શકે છે કે આનાથી કેટલો મોટો ફાયદો થઈ શકે છે, અને અમે અપેક્ષા રાખીએ છીએ કે આવા કિસ્સાઓ વધશે." તેમણે ઉમેર્યું કે આ પ્રકારની છેતરપિંડીઓએ બાયનાન્સ પર થયેલા હુમલા જેવા બનાવોને જન્મ આપ્યો છે, જેમાં ૬.૩૪ અબજ ડોલરની સંપત્તિ પ્રભાવિત થઈ હતી.

કોરોલેવસ્કીના જણાવ્યા અનુસાર, આ લાલચ એવી રીતે તૈયાર કરવામાં આવી છે કે તે સામાન્ય તપાસમાં સાચી લાગે. પ્રોફેશનલ વેબસાઇટ, લિંક્ડઇન પેજ અને વેરિફાઈડ બેજ ધરાવતા રિક્રુટર્સને કારણે સિસ્ટમ એક્સેસ ધરાવતા ડેવલપર્સ અને કર્મચારીઓ માટે આને ઓળખવું મુશ્કેલ બની જાય છે. તેથી, તેમણે ભારપૂર્વક જણાવ્યું હતું કે એમ્પ્લોયર્સએ આ માટે કડક નિયમો નક્કી કરવા જોઈએ.

સુરક્ષાના પગલાં તરીકે, કોરોલેવસ્કીએ સૂચવ્યું છે કે ઇન્ટરવ્યુ અસાઇનમેન્ટ્સમાં જો કંઈ ડાઉનલોડ કરવાનું હોય, તો તેને ક્યારેય ઓફિસના લેપટોપ પર નહીં, પરંતુ માત્ર ડિસ્પોઝેબલ વર્ચ્યુઅલ મશીન પર જ ચલાવવા જોઈએ. વધુમાં, સિક્યુરિટી ટીમોએ કર્મચારીઓને ચેતવણી આપવી જોઈએ કે તેઓ અજાણી ફાઇલો ડાઉનલોડ ન કરે, ભલે તે સ્ત્રોત વિશ્વાસપાત્ર લાગે.

ડેવલપર્સ માટે તેમણે કેટલીક ટિપ્સ આપી છે, જેમાં રિક્રુટરની પ્રોફાઇલ ક્યારે બનાવવામાં આવી હતી તે તપાસવું અને કંપનીનું લોકેશન દરેક પેજ પર એક જ છે કે નહીં તેની ખાતરી કરવી સામેલ છે. તેમણે નોંધ્યું કે આ પ્રકારની છેતરપિંડી AI યુગ પહેલા પણ થતી હતી, પરંતુ હવે AI ના કારણે તે વધુ વિકસિત અને સંખ્યામાં વધી છે. AI દ્વારા બનાવવામાં આવેલી નકલી છબીઓ અને વેબસાઇટ્સને કારણે કંપની નકલી છે તે જાણવું વધુ મુશ્કેલ બન્યું છે.

JFrog એ તેના વિગતવાર રિપોર્ટમાં ડેવલપર્સને સલાહ આપી છે કે તેઓ ટેક-હોમ ટેસ્ટને 'અનટ્રસ્ટેડ કોડ' તરીકે ગણે અને આવા અજાણ્યા પ્રોજેક્ટ્સને VS Code ના રિસ્ટ્રિક્ટેડ મોડમાં જ ખોલે. કોરોલેવસ્કીએ સ્પષ્ટ કર્યું કે, "એક કાયદેસરના ઇન્ટરવ્યુમાં તમને ક્યારેય ડ્રાઇવર ઇન્સ્ટોલ કરવાની જરૂર પડતી નથી, અને અમને એવી કોઈ કંપની ખબર નથી જે 'રિકમેન્ડેડ VS Code કોન્ફિગરેશન' ને curl કમાન્ડ દ્વારા મોકલે."