Thủ đoạn phát tán mã độc tống tiền Ransomware qua email tuyển dụng giả

Email tuyển dụng giả là một trong những cách kẻ gian dùng để đưa mã độc tống tiền vào doanh nghiệp: chúng gửi "hồ sơ ứng viên" tới bộ phận nhân sự, hoặc gửi "thư mời phỏng vấn" tới người đang tìm việc, kèm tệp đính kèm hay đường link chứa mã độc. Bộ phận nhân sự đặc biệt dễ bị nhắm vì công việc của họ là mở tệp từ người lạ mỗi ngày. Phòng chống hiệu quả cần cả quy trình (nhận hồ sơ qua hệ thống, không qua tệp tùy ý), kỹ thuật (chặn macro, quét tệp, sandbox) và đào tạo nhận diện dấu hiệu.

Vì sao kẻ gian chọn kịch bản tuyển dụng

Email tuyển dụng có ba đặc điểm khiến nó trở thành mồi nhử lý tưởng:

• Người nhận phải mở tệp từ người lạ: nhân viên tuyển dụng không thể từ chối mở CV chỉ vì không quen người gửi.
• Có yếu tố gấp gáp: vị trí cần tuyển gấp, ứng viên "nổi bật", hạn phản hồi ngắn.
• Định dạng tệp quen thuộc: CV, thư giới thiệu, bằng cấp, chứng chỉ; tệp nén chứa "hồ sơ đầy đủ" cũng không có gì lạ.

Các hãng bảo mật đã nhiều lần ghi nhận chiến dịch ransomware sử dụng chủ đề ứng tuyển, đặc biệt nhắm vào doanh nghiệp ở châu Âu và châu Á, với email viết bằng ngôn ngữ địa phương để tăng độ tin cậy.

Các dạng email tuyển dụng giả thường gặp

Hồ sơ ứng viên gửi tới doanh nghiệp

Email có tiêu đề như "Ứng tuyển vị trí kế toán", "CV - Nguyễn Văn A". Tệp đính kèm có thể là:

• Tài liệu Word, Excel yêu cầu "Enable Content" để xem đầy đủ, thực chất là để chạy macro độc hại.
• Tệp nén ZIP, RAR, 7z, đôi khi có mật khẩu ghi trong email để né quét tự động.
• Tệp đuôi kép như "CV_NguyenVanA.pdf.exe" hoặc tệp shortcut .lnk mang biểu tượng PDF.
• Tệp ảnh đĩa ISO, IMG chứa tệp thực thi bên trong.
• Đường link tới "Google Drive", "OneDrive" giả mạo để tải hồ sơ.

Thư mời phỏng vấn gửi tới người tìm việc

Người đang tìm việc nhận email từ "nhà tuyển dụng" kèm "bản mô tả công việc", "bài test năng lực" hoặc yêu cầu cài phần mềm phỏng vấn trực tuyến từ đường link lạ. Máy cá nhân nhiễm mã độc, và nếu người đó đang làm việc ở công ty khác, mã độc có thể đi tiếp vào mạng công ty qua VPN hay tài liệu dùng chung.

Dấu hiệu nhận biết

Kỹ năng nhận diện tệp ngụy trang được trình bày chi tiết hơn trong bài nhận biết tệp đuôi kép giả mạo.

Quy trình an toàn cho bộ phận nhân sự

1. Nhận hồ sơ qua cổng tuyển dụng hoặc biểu mẫu chỉ chấp nhận PDF, DOCX có giới hạn dung lượng, thay vì nhận tệp tùy ý qua email.
2. Nêu rõ trong tin tuyển dụng định dạng hồ sơ chấp nhận, ví dụ "chỉ nhận CV định dạng PDF, không nhận tệp nén". Hồ sơ trái quy định được xử lý thận trọng.
3. Không bật macro với bất kỳ tài liệu nào từ người ngoài. Tốt nhất là IT chặn macro trong tệp tải từ internet bằng chính sách nhóm.
4. Mở hồ sơ trong chế độ xem an toàn (Protected View của Office) hoặc trình xem trên trình duyệt.
5. Dùng máy riêng hoặc môi trường cô lập cho việc mở hồ sơ nếu khối lượng lớn; tham khảo cách dùng Windows Sandbox mở tệp lạ.
6. Báo IT khi thấy email đáng ngờ, chuyển tiếp dưới dạng tệp đính kèm hoặc dùng nút báo cáo lừa đảo của hệ thống email.

Lớp kỹ thuật bộ phận IT nên có

• Lọc email chặn tệp thực thi, tệp ảnh đĩa, tệp nén có mật khẩu gửi tới hộp thư nhân sự.
• Bật quy tắc chặn Office tạo tiến trình con và chặn macro từ internet.
• Bật chống ransomware cho thư mục quan trọng và hạn chế quyền ghi của máy nhân sự trên ổ chia sẻ.
• Sao lưu có bản ngoại tuyến, kiểm tra khôi phục định kỳ.

Với hiểu biết sâu hơn về cách mã độc tống tiền hoạt động và các giai đoạn tấn công, bạn có thể tham khảo bài nhận diện và phòng tránh mã độc mã hóa dữ liệu.

Nếu đã lỡ mở tệp đáng ngờ

Ngắt mạng máy ngay, báo IT, không cố tự xử lý bằng công cụ tải từ mạng. Nếu thấy tệp bắt đầu bị đổi tên hàng loạt hoặc xuất hiện ghi chú đòi tiền chuộc, mã độc đang hoạt động; làm theo hướng dẫn cô lập máy tính nhiễm độc. Không nên trả tiền chuộc: không có gì đảm bảo nhận được khóa giải mã, và việc trả tiền khuyến khích kẻ gian tiếp tục. Bản sao lưu sạch là con đường phục hồi đáng tin cậy nhất.

Lời nhắc cho người tìm việc

Nhà tuyển dụng thật không yêu cầu bạn cài phần mềm lạ từ đường link cá nhân, không yêu cầu chuyển tiền "phí hồ sơ", và thường liên hệ qua tên miền công ty. Hãy tra cứu công ty, gọi số điện thoại công khai để xác nhận trước khi mở tệp hay cài bất cứ thứ gì.