LinkedInを脅かすソーシャルエンジニアリングと偽リクルーターの巧妙な手口

LinkedInに潜む偽リクルーターの脅威！ソーシャルエンジニアリングの手口

ビジネス特化型SNSとして世界中で利用されているLinkedInが、国家主導のハッカー集団やサイバー犯罪者たちの主戦場へと変貌を遂げています。洗練された偽の求人担当者プロフィールを作成し、求職者に接近する「偽リクルーター」の存在が深刻な問題となっています。彼らの目的は、魅力的なキャリアの提案ではなく、高度なソーシャルエンジニアリングを用いたマルウェアの感染と機密情報の奪取です。

模擬面接が罠に？ソーシャルエンジニアリングの巧妙なプロセス

かつてのフィッシング攻撃は、不自然な日本語や怪しいメールアドレスですぐに見抜けるものが大半でした。しかし、現在のソーシャルエンジニアリング手法は極めて洗練されています。攻撃者は実在する大手IT企業や防衛関連企業の採用担当者を装い、数ヶ月かけて信頼関係を構築します。

被害者は不正なコードが含まれているとは知らず、採用選考の一環として提示されたテスト用ファイルを自ら実行してしまうのです。

標的型攻撃の具体的な流れ

• 信頼の獲得：数十人の共通の知人を持つ偽アカウントを作成し、ダイレクトメッセージで魅力的な求人を提案。
• 面接の実施：オンライン会議ツール等で実際に面接を行い、応募者の警戒心を完全に解く。
• マルウェアの配給：「課題コードのレビュー」や「採用書類の確認」と称して、不正なマクロを含むファイルやインストーラーを送付。

なぜLinkedInがサイバー犯罪者の標的になるのか

LinkedInはユーザーが自身の職歴、スキル、所属プロジェクトなどの詳細なキャリア情報を自ら公開するプラットフォームです。この環境は、攻撃者にとって格好の「ターゲット分析場」となります。特定の技術スタックを持つエンジニアや、機密情報にアクセス権限を持つ人物をピンポイントで捜し出し、その人物に最適化されたシナリオでソーシャルエンジニアリングを仕掛けることが可能です。

被害を防ぐためのセキュリティ対策

個人および組織がこの高度な脅威から身を守るためには、SNS上のやり取りに対する不信感（ゼロトラストの考え方）を持つことが不可欠です。

今日からできる防御策

• 連絡ルートの確認：提示された求人が実在するか、企業の公式サイトや正規の採用窓口から直接確認する。
• 実行ファイルの警戒：採用プロセス中に送られてくるアーカイブファイルや実行ファイル（.exe等）は安易に開かない。
• プロフィールの検証：相手の職歴や過去の投稿内容、コネクションの質を精査する。

ビジネスの機会が広がる一方で、ソーシャルエンジニアリングの危険性も背中合わせに存在します。魅力的なオファーであっても一歩立ち止まり、慎重に確認する姿勢が求められています。

皆さんはSNS上で怪しい求人スカウトを受けた経験はありますか？被害を防ぐために実践している対策があれば、ぜひコメントで教えてください！