Заплахи използват комуникацията относно личните пенсионни сметки (плановете 401(k) в САЩ), корекциите на заплатите и докладите за резултатите, за да откраднат данните на служителите на компанията.

Компанията за сигурност на електронната поща Cofense предупреждава, че тези атаки зачестяват и дори организации с добри практики за сигурност на електронната поща имат проблеми срещу тях.

Фалшиви известия за 401к

401(k) е популярен план за пенсионни спестявания в САЩ, който предлага на служителите удобен начин да спестяват за бъдещето с данъчни облекчения, често включващи допълнителни вноски от работодателя.

Киберпрестъпниците се възползват от тази тема и изпращат на мишените 401(k) известия, представяйки се за някой от отдела за човешки ресурси на компанията, твърдейки, че има важна актуализация на плана или увеличение на вноските.

Cofense казва, че през миналата година е наблюдавала рязко увеличение на QR кодовете, вградени в тези фишинг имейли, които отвеждат получателите до фалшива страница за вход, предназначена за кражба на идентификационни данни.

Фишинг имейл на тема 401к (Cofense)

Други видове примамки, които се наблюдават по-често в края на годината, включват съобщения за отворено записване, проучвания и преструктуриране на заплатите.

Отвореното записване е специфичен период, който обикновено настъпва към края на календарната година и позволява на служителите да се запишат в здравноосигурителни или пенсионни планове. Получателите възприемат тези съобщения много сериозно, тъй като пропускането  да се запишат преди крайния срок води до загуба на правото на някои обезщетения до следващия кръг на записване.

Киберпрестъпниците изглежда използват по-често и примамки, свързани с корекции на възнагражденията, особено за бонуси и увеличения, които обикновено се решават в края на годината.

Фалшиво съобщение за увеличение на заплатата (Cofense)

И накрая, Cofense предупреждава за фалшиви проучвания за удовлетвореността на служителите и доклади за оценка, изпратени до целите от подставени отдели за човешки ресурси.

В един от примерите фишинг имейлът използва темата „награда за служител на годината“, за да подмами получателите да отворят докладите си за работата, уж за да ги прегледат и подпишат.

Примамка за доклад за изпълнението (Cofense)

Съвети за защита

Cofense твърди, че всички примери в доклада й са от служители на големи предприятия, които използват ефективни решения за сигурност на електронната поща, но въпреки това много фишинг съобщения все още достигат до пощенските кутии на служителите им.

Компанията за сигурност предлага отделите за човешки ресурси да планират тези съобщения и да информират персонала по съответния начин, за да помогнат за филтрирането на поне част от злонамерените съобщения.

Като се има предвид обаче, че много компании възлагат тези операции на външни изпълнители, обучението и предпазването на служителите от опити за фишинг може да се окаже трудно.

Друга мярка би била да се избягват QR кодовете в легитимната бизнес комуникация, тъй като много фишинг кампании разчитат на тях.